Checklist de sécurité WhatsApp

Les sauvegardes que WhatsApp crée par défaut sur iCloud ou Google Drive ne sont PAS chiffrées de bout en bout. Ça veut dire qu'un tribunal peut obliger Apple ou Google à remettre tout ton historique de discussions. Même si tes messages ont été envoyés de façon sécurisée, la sauvegarde annule cette protection en offrant un moyen facile de révéler tout ton historique de discussions.

Désactiver les sauvegardes te protège aussi si un hacker s'introduit dans ton compte iCloud ou Google grâce à du phishing ou à un mot de passe réutilisé.

Si tu as absolument besoin de sauvegardes, consulte Sauvegarder tes discussions WhatsApp de façon sécurisée pour savoir comment faire en toute sécurité.

Par défaut, toute personne avec qui tu as déjà échangé des messages peut voir quand tu étais en ligne sur WhatsApp pour la dernière fois. Pour les militant·es, c'est un moyen facile pour quelqu'un de cartographier tes habitudes d'activité.

Activer les paramètres de compte stricts active plusieurs protections d'un coup. C'est un bon réglage par défaut pour toute personne militante.

Activer les messages éphémères par défaut te protège mieux, toi et tes contacts, si un téléphone est un jour confisqué ou piraté. On ne sait pas à qui les flics vont saisir le téléphone. Même si tu penses parler de choses parfaitement légales, le gouvernement peut trouver des moyens de déformer tes propos.

WhatsApp propose 24 heures, 7 jours ou 90 jours. 7 jours, c'est un bon choix par défaut, et tu peux ensuite régler manuellement une durée plus courte pour les conversations plus sensibles.

Garde en tête que les discussions sur des sujets politiques ou stratégiques peuvent être surveillées par l'extrême droite, surtout dans les groupes ou les chaînes utilisés pour la communication ou la mobilisation de masse, où tu ne contrôles pas vraiment qui rejoint.

Évite de dire sur WhatsApp quoi que ce soit que tu ne publierais pas ouvertement sur les réseaux sociaux.

Si tu prépares des actions sensibles avec des gens de confiance, utilise Signal.

Pour les militant·es, Meta AI est un outil de collecte de données déguisé en assistant serviable. Tout ce que tu lui demandes sur ton travail d'organisation, tes contacts, tes lieux ou tes projets est stocké, utilisé pour te profiler et potentiellement transmis aux flics.

Mentionner @MetaAI dans une discussion de groupe envoie les messages environnants dans les systèmes de Meta, même si tu voulais juste poser une petite question. Une fois que Meta AI est dans la conversation, cet historique ne reste plus seulement entre les personnes de la discussion.

Pour tenir Meta AI à l'écart de certaines discussions de groupe, active aussi la Confidentialité avancée des discussions dans ces discussions.

C'est quoi, « Appareils connectés » ? WhatsApp te permet d'utiliser ton compte sur d'autres appareils (un ordinateur, une tablette, un deuxième téléphone) en les connectant avec un code QR ou un code d'association. La plupart des gens n'utilisent jamais cette fonctionnalité. Consulte l'explication officielle de WhatsApp si tu veux en savoir plus.

Des personnes malveillantes ont compris qu'elles pouvaient te piéger pour que tu connectes leur appareil à ton compte. Si un site web ou une personne inconnue te guide pour une « vérification » qui consiste à saisir un code dans WhatsApp, ce n'est pas une vérification. Concrètement, c'est toi qui leur donnes un accès complet à tes discussions. La même arnaque fonctionne avec les codes QR.

Donc : ne saisis jamais de code d'association et ne scanne jamais de code QR WhatsApp parce qu'un site web ou une personne te l'a demandé. Scanne un code QR WhatsApp uniquement quand c'est toi-même qui viens d'ouvrir WhatsApp Web ou Desktop.

Tu peux vérifier ton compte à tout moment. Consulte Vérifie régulièrement les appareils connectés.

Ton code PIN WhatsApp et le code de vérification à 6 chiffres que WhatsApp t'envoie par SMS sont les clés de ton compte. N'importe qui les obtient peut en prendre le contrôle.

Ne partage jamais ces codes avec qui que ce soit, sous aucun prétexte. Ça vaut même si la personne dit faire partie du « Support WhatsApp » ou de la « Sécurité WhatsApp ». WhatsApp ne te contactera jamais par message privé, par appel ou par SMS pour te demander ton code PIN ou ton code de vérification. Si quelqu'un te les demande, c'est une tentative de phishing.

On observe une hausse des faux messages se faisant passer pour le « Support WhatsApp » qui tentent de pirater ton compte de cette façon. Si tu as un doute sur l'authenticité d'un message, n'y réponds pas, ne touche aucun lien et ne saisis aucun code. Contacte plutôt WhatsApp depuis la section Aide de l'application.

La confidentialité avancée des discussions est une option à activer discussion par discussion. Elle bloque l’exportation de la discussion, désactive le téléchargement automatique des médias et bloque les fonctionnalités de Meta AI dans cette discussion précise.

Tu dois l’activer pour chaque discussion sensible. Impossible de l’appliquer automatiquement à toutes tes discussions.

Sauf si un·e admin du groupe a réservé la modification des paramètres du groupe aux admins, tu peux activer cette option dans les groupes où tu es simple membre. Ça aide à protéger la vie privée de tout le monde.

Les photos et vidéos que tu reçois sur WhatsApp peuvent se retrouver dans plus d'endroits que tu ne le penses. Par défaut, WhatsApp peut les enregistrer directement dans ta galerie, puis iCloud ou Google Photos les sauvegardent automatiquement dans le cloud.

Ça veut dire que des images sensibles (vidéos de manifs, photos d'organisateur·ices, tout ce qui pourrait exposer ta communauté) et leurs métadonnées (comme le lieu et l'heure où la photo a été prise) peuvent rester stockées sur un compte Google ou Apple, où les flics peuvent les obtenir par réquisition judiciaire. Supprimer chaque copie plus tard devient alors beaucoup plus difficile.

Une grande partie de l’organisation militante de terrain se fait dans des groupes WhatsApp non vérifiés, où tu ne sais pas à quel point tu peux faire confiance à tout le monde dans le groupe. Ces groupes peuvent être infiltrés par des adversaires d'extrême droite et par les flics.

Utiliser un faux nom ou juste ton prénom empêche quelqu’un de retrouver ta vraie identité avec une simple recherche Google. Utiliser une photo qui ne montre pas ton visage empêche quelqu’un de retrouver tes profils sur les réseaux sociaux grâce à la recherche d’images ou à la reconnaissance faciale. Ces deux mesures t'aident à te protéger contre le doxxing et le harcèlement en ligne.

Rappelle aussi aux personnes de tes groupes de le faire. La sécurité, c'est un sport d'équipe.

WhatsApp te permet de partager ta position en temps réel avec une personne ou un groupe pendant une durée définie. C'est facile de l'activer et de l'oublier, surtout si tu as commencé à partager ta position avec quelqu'un il y a plusieurs heures.

Pour les militant·es, un partage de position en direct actif, c'est une carte directe de tes déplacements que tout le monde dans la discussion peut voir.

Le plus sûr, c'est de laisser les sauvegardes complètement désactivées (voir Désactiver les sauvegardes des discussions WhatsApp). N'active les sauvegardes que si tu en as vraiment besoin, par exemple si tu changes d'appareil ou si tu passes une frontière et dois supprimer WhatsApp temporairement.

Si tu as besoin de sauvegardes, active la sauvegarde chiffrée de bout en bout intégrée à WhatsApp. Sans ça, Google ou Apple peuvent être obligés de livrer tout ton historique de discussions aux flics.

Si vous gérez un groupe d'organisation militante, les paramètres du groupe lui-même comptent autant que vos paramètres personnels.

La confidentialité d'une discussion de groupe ne vaut que ce que vaut son membre le moins sécurisé. Si une seule personne est infiltrée ou a un appareil compromis, tout le contenu de la discussion peut être exposé. Aidez votre groupe à respecter ensemble les règles communes.

WhatsApp propose une fonctionnalité plus récente appelée Communautés, qui te permet de créer un groupe principal contenant plusieurs sous-groupes.

L'avantage pour les militant·es qui organisent, c'est que les Communautés ont une fonction de « confidentialité du numéro de téléphone » qui empêche les membres de voir les numéros des un·es et des autres.

Si tu gères un grand groupe d'organisation militante sur WhatsApp, pense à le migrer vers une Communauté pour réduire le risque que des membres se fassent doxxer par d'autres membres ou par des infiltré·es.

Les logiciels espions sont un type d'attaque avancé, qui exploite des failles sophistiquées de nos appareils. Pour y répondre, Apple et Google ont introduit un mode de sécurité avancé qui offre une protection renforcée contre les logiciels espions.

Sur iPhone, ça s'appelle le mode Isolement et sur Android, le Programme Protection Avancée. (Tu peux aussi activer le Programme Protection Avancée uniquement sur ton compte Google, même si tu n'as pas de téléphone Android.)

Nous n'avons aucun signalement de personne infectée par un logiciel espion alors que le mode Isolement d'Apple était activé. La Protection avancée d'Android est plus récente et son efficacité reste encore à prouver.

Chaque nouvelle mise à jour du système d'exploitation corrige des failles de sécurité. Chaque mise à jour que tu n'as pas installée allonge la liste des moyens dont disposent les flics pour pirater ton appareil. Imagine un grand bâtiment avec de plus en plus de portes laissées déverrouillées.

Si ton système d'exploitation n'est pas à jour, beaucoup des autres recommandations de ce guide ne protégeront pas tes données.

Commence par ton téléphone. Si tu fais quelque chose de plus risqué, assure-toi de mettre à jour tous tes appareils.

Attention : le déverrouillage par visage ou par empreinte te permet d'utiliser des mots de passe plus solides sans avoir à les taper tout le temps. Si tu dois choisir, mieux vaut avoir un code plus long que désactiver le déverrouillage par visage/empreinte. Si tu laisses la biométrie activée, assure-toi de savoir la désactiver rapidement si tu t'apprêtes à te retrouver dans une situation à haut risque (voir les astuces ci-dessous).

Combien de temps faut-il pour craquer un code ?

Remarque : ces durées ne s'appliquent qu'aux téléphones. Les ordinateurs se craquent beaucoup plus vite et ont besoin de mots de passe bien plus robustes.

Sources : les estimations du tableau ci-dessus se basent sur le nombre de tentatives par seconde réellement observé avec les outils de piratage forensique utilisés par les flics. Si tu as besoin de plus de sécurité, utilise un code à 10 chiffres : il te protégera même dans les pires scénarios de craquage possibles. Consulte les sources indiquées dans la FAQ sur les codes ici.

Meta a récemment déployé une fonctionnalité dans l'app Facebook qui envoie toutes les images de ta photothèque sur ses serveurs pour les traiter. C'est une atteinte grave à la vie privée, qui peut exposer les militant·e·s à des risques juridiques.

Meta (la société mère, qui possède aussi WhatsApp) affirme que ce type de fonctionnalité n'existe pas sur WhatsApp. Malgré tout, ça vaut le coup de limiter l'accès de WhatsApp à tes photos, puisque l'entreprise a déployé exactement cette fonctionnalité sur Facebook.

Si les flics confisquent ton téléphone, ton historique de notifications peut révéler le contenu de tes messages et le nom des expéditeurs, même après la disparition des messages eux-mêmes. Consulte l’affaire Prairieland pour comprendre pourquoi c’est important.

Apple a corrigé, dans iOS/iPadOS 26.4.2 (et dans l’ancienne branche de maintenance 18.7.8), le problème qui entraînait la conservation des notifications Signal entrantes même après la suppression des messages. Même si ce problème a été corrigé, on ne sait pas si les téléphones Android présentent encore la même faille, donc ça vaut le coup de masquer les aperçus sur les deux plateformes.

Apple Intelligence et les résumés de notifications d'Android peuvent envoyer une partie de tes notifications vers des serveurs cloud. On ne sait pas vraiment ce qui est envoyé ni où, et un gouvernement pourrait exiger l'accès à ces données.

On a un article sur ce sujet en lien avec Signal. Le même raisonnement s'applique à WhatsApp : Est-ce qu'Apple Intelligence lit mes messages Signal ?

La fonction multi-appareils de WhatsApp est l'un des principaux moyens utilisés par les attaquants pour prendre le contrôle de ton compte. Les attaquants te piègent pour que tu scannes un code QR ou que tu saisisses un code d'association, et leur ordinateur peut alors voir tous les messages que tu envoies et reçois.

Cette même infrastructure multi-appareils a aussi été utilisée par des logiciels espions mercenaires pour cibler des journalistes et des organisateur·rices. Consulte notre page sur les logiciels espions pour en savoir plus.