Checklist de sécurité Signal

Une grande partie de l'organisation militante se fait dans des groupes Signal non vérifiés, où tu ne sais pas à quel point tu peux faire confiance à tout le monde dans le groupe. Ces groupes peuvent être infiltrés par des adversaires d'extrême droite et par les flics.

Utiliser un faux nom empêche quelqu'un de retrouver ta véritable identité avec une simple recherche Google.

Utiliser une photo qui n'est pas celle de ton visage empêche quelqu'un de retrouver tes profils sur les réseaux sociaux grâce à une correspondance d'image ou à la reconnaissance faciale.

Ces deux mesures t'aident à te protéger contre le doxxing et le harcèlement en ligne.

Le même principe s'applique encore plus aux réseaux sociaux. Si ton profil Instagram, Facebook ou LinkedIn associe ton vrai nom complet à une photo nette de ton visage, des personnes malveillantes peuvent facilement t'identifier, même si le reste de ton profil est privé. Pour en savoir plus, consulte Verrouille tes réseaux sociaux.

Rappelle aux personnes de tes groupes de faire la même chose. La sécurité, c'est un sport d'équipe.

Si tu as installé Signal avant mars 2024, quand les noms d'utilisateur ont été introduits, ton numéro de téléphone est peut-être encore visible par les autres.

Ça te protège contre certaines attaques. Mais pense toujours à bien regarder l'URL qu'on t'envoie pour vérifier qu'elle vient d'un site que tu peux ouvrir en toute confiance.

Contexte technique : Une attaque a été publiée en 2025. Elle permet à une personne malveillante d'estimer ta position à environ 250 miles près.

Par défaut, les appels Signal se connectent directement entre toi et l'autre personne. Ça veut dire que l'appareil de l'autre personne peut voir ton adresse IP. Avec une décision de justice adressée à ton fournisseur d'accès à Internet, ton adresse IP peut servir à t'identifier personnellement.

Activer « Toujours relayer les appels » fait passer tes appels par les serveurs de Signal, ce qui cache ton adresse IP à l'autre personne. (Si tu utilises déjà un VPN, ton adresse IP est déjà masquée.)

La meilleure amélioration que tout le monde peut apporter à son utilisation de Signal, c'est de s'assurer que les messages éphémères sont activés par défaut. La plupart des militant·es avec qui on parle ne les ont pas activés par défaut. (Et la plupart des gens oublient de les activer manuellement pour chaque nouvelle conversation.)

Ça te protège, et ça protège les autres aussi. On ne sait jamais quel téléphone sera saisi par les flics. Même si on pense parler de choses parfaitement légales, le gouvernement peut trouver des moyens de déformer nos propos pour essayer de monter un dossier contre nous à cause de notre engagement politique

Il y a deux choses à surveiller avec les messages éphémères :

1. D'abord, modifie ton paramètre par défaut pour que cette fonctionnalité soit activée dans toutes les conversations que tu crées.
2. Ensuite, vérifie qu'elle est activée dans les conversations lancées par d'autres personnes : si quelqu'un d'autre lance la conversation, les messages éphémères ne sont peut-être pas activés. Tu devras peut-être les activer toi-même.

Choisir la durée de tes messages éphémères : la durée que tu choisis dépend de la sensibilité de tes messages. Une question que tu peux te poser : si l'appareil de quelqu'un était confisqué ou piraté, à quel point est-ce important que ces messages ne soient pas accessibles ?

• Pour discuter de choses peu risquées entre ami·es, tu peux choisir 4 semaines.
• Pour l'organisation politique courante, tu peux choisir 1 semaine.
• Pour des actions plus risquées, tu peux régler la durée sur 1 jour, 1 heure ou 5 minutes, pour que les messages aient disparu avant le début de l'action.

Si ton téléphone est confisqué, les flics ont deux moyens d’accéder à ton historique de notifications :

1. Ils peuvent voir les notifications sur ton écran d’accueil sans déverrouiller ton téléphone.
2. S’ils utilisent des outils de piratage, ils peuvent accéder au journal des notifications que ton téléphone a reçues. (Exemple tiré de l’affaire Prairieland.)

Ça ne concerne que les messages reçus. Et le risque existe même une fois que le message a disparu de Signal (si tu as activé les messages éphémères).

Pour info : si tu veux effacer le journal des notifications qu’iOS a déjà enregistré, la seule façon de le faire est de réinitialiser ton téléphone aux paramètres d’usine et de le configurer comme un nouvel appareil — sans restaurer une sauvegarde, car les sauvegardes contiennent l’historique des notifications.

• Verrouillage de l’écran : si tu passes ton téléphone déverrouillé à quelqu’un, cette option l’oblige à déverrouiller de nouveau avec le visage, l’empreinte digitale ou le PIN avant d’ouvrir Signal.
• Masquer dans le sélecteur d’apps : cette option masque tes messages quand tu passes d’une app à l’autre.

Ça empêche les flics de voir ton historique d’appels Signal s’ils confisquent ton téléphone.

Si les flics confisquent ton téléphone, l'un des plus gros risques, c'est d'exposer tout ton réseau. Même si les gens n'utilisent pas leur vrai nom sur leur compte Signal, il y a quand même un identifiant unique derrière chaque nom d'utilisateur Signal. Et les flics peuvent s'en servir pour recouper l'identité de quelqu'un sur plein d'appareils saisis.

Tu dois à la fois quitter ET supprimer le groupe :

• Si tu quittes seulement le groupe, les anciens messages restent sur ton téléphone, ainsi que l'historique des personnes qui étaient dans le groupe.
• Si tu supprimes seulement le groupe, les nouveaux messages continueront d'arriver et la conversation réapparaîtra.

Conseils d'hygiène numérique :

• Programme un rappel récurrent pour faire le ménage dans tes conversations Signal tous les 3 mois.
• Pense bien à noter quels groupes tu quittes et à qui tu peux demander de te réajouter après l'action.

Remarque : Si tu trouves ce processus super pénible et fastidieux (parce qu'il l'est !), c'est une raison de plus d'utiliser un téléphone secondaire pour les actions. Ce téléphone ne serait jamais que dans le ou les deux groupes nécessaires pour mener à bien l'action ce jour-là.

Si une personne très motivée à t’attaquer arrive à trouver ton numéro de téléphone, elle peut essayer d’en prendre le contrôle grâce à ce qu’on appelle le « SIM Swapping » ou en appelant ton opérateur pour lancer une « portabilité » de ton numéro vers un nouvel opérateur. La personne pourrait alors utiliser ton numéro pour créer un compte Signal et commencer à recevoir les messages qui te sont destinés.

Ce sont des attaques avancées qui ne touchent pas la plupart des gens. Malgré tout, c’est facile de protéger ton compte Signal.

Tu peux te protéger en activant le blocage de l’inscription sur Signal. Ça empêche quelqu’un de pirater ton compte, même si cette personne vole ton numéro de téléphone. Personne ne pourra créer un nouveau compte Signal avec ton numéro tant que ton compte n’aura pas été inactif pendant 7 jours.

Si tu oublies ton PIN, tu devras attendre 7 jours avant de pouvoir créer un nouveau compte (et tes contacts ne seront pas récupérés). En savoir plus sur le PIN et le blocage de l’inscription.

Sur Android, le clavier par défaut peut enregistrer ce que tu tapes.

Google et Apple ne disent pas clairement quand leurs outils d’IA envoient nos informations privées (comme nos messages Signal) depuis notre appareil vers leurs services. Si elles sont envoyées sur leurs serveurs, le gouvernement risque d’y accéder grâce à une décision de justice.

D’après ce qu’on comprend, ces fonctionnalités d’IA se contentent actuellement de résumer les notifications. Mais vu la tournure que prennent les choses, elles pourraient devenir plus intrusives.

Lis notre article Apple Intelligence lit-elle mes messages Signal ?

On voit de plus en plus de faux messages du « Signal Support » qui tentent de pirater ton compte.

Sers-toi des exemples ci-dessous pour repérer les faux messages Signal.

Rappel : Signal ne te demandera jamais de lui envoyer ton PIN ou ton code de vérification. On te les demandera uniquement quand tu installes l'application pour la première fois sur un appareil.

En savoir plus sur les arnaques et le phishing sur Signal.

Voici quelques exemples de messages frauduleux :

Combien de temps faut-il pour craquer un code ?

Remarque : ces durées ne s'appliquent qu'aux téléphones. Les ordinateurs se craquent beaucoup plus vite et ont besoin de mots de passe bien plus robustes.

Sources : les estimations du tableau ci-dessus se basent sur le nombre de tentatives par seconde réellement observé avec les outils de piratage forensique utilisés par les flics. Si tu as besoin de plus de sécurité, utilise un code à 10 chiffres : il te protégera même dans les pires scénarios de craquage possibles. Consulte les sources indiquées dans la FAQ sur les codes ici.

Chaque nouvelle mise à jour du système d'exploitation corrige des failles de sécurité. Chaque mise à jour que tu n'as pas installée allonge la liste des moyens dont disposent les flics pour pirater ton appareil. Imagine un grand bâtiment avec de plus en plus de portes laissées déverrouillées.

Si ton système d'exploitation n'est pas à jour, beaucoup des autres recommandations de ce guide ne protégeront pas tes données.

Commence par ton téléphone. Si tu fais quelque chose de plus risqué, assure-toi de mettre à jour tous tes appareils.

Attention : le déverrouillage par visage ou par empreinte te permet d'utiliser des mots de passe plus solides sans avoir à les taper tout le temps. Si tu dois choisir, mieux vaut avoir un code plus long que désactiver le déverrouillage par visage/empreinte. Si tu laisses la biométrie activée, assure-toi de savoir la désactiver rapidement si tu t'apprêtes à te retrouver dans une situation à haut risque (voir les astuces ci-dessous).

Les logiciels espions sont un type d'attaque avancé, qui exploite des failles sophistiquées de nos appareils. Pour y répondre, Apple et Google ont introduit un mode de sécurité avancé qui offre une protection renforcée contre les logiciels espions.

Sur iPhone, ça s'appelle le mode Isolement et sur Android, le Programme Protection Avancée. (Tu peux aussi activer le Programme Protection Avancée uniquement sur ton compte Google, même si tu n'as pas de téléphone Android.)

Nous n'avons aucun signalement de personne infectée par un logiciel espion alors que le mode Isolement d'Apple était activé. La Protection avancée d'Android est plus récente et son efficacité reste encore à prouver.

Signal chiffre tes messages pour que seules toi et l'autre personne puissiez les lire. Mais en théorie, un attaquant sophistiqué pourrait se placer entre toi et ton contact, et intercepter les messages avant de les faire suivre. C'est ce qu'on appelle une attaque de l'"homme du milieu". Les numéros de sécurité te permettent de confirmer que ta connexion chiffrée va directement à ton contact, sans personne au milieu.

La plupart des gens n'ont pas besoin de faire ça. Si tu discutes avec des ami·es d'organisation au quotidien, le chiffrement de Signal fait déjà son travail. Mais si tu communiques sur un sujet à haut risque (actions directes, affaires juridiques sensibles, journaliste qui échange avec une source), vérifier les numéros de sécurité vaut bien cette étape supplémentaire.

Imagine un sceau de cire sur une enveloppe. Le chiffrement, c'est le sceau, mais un attaquant sophistiqué pourrait le briser, lire le contenu, puis refermer l'enveloppe avec sa propre cire. Vérifier les numéros de sécurité, c'est s'assurer que personne n'a remplacé le sceau.