Métadonnées : Pourquoi 'Qui Vous Appelez' Est Plus Dangereux Que 'Ce Que Vous Dites'

Les métadonnées sont les données sur les données. Elles ne révèlent pas ce que vous avez dit, mais révèlent qui vous avez contacté, quand, d'où et combien de fois. Ces informations sont souvent plus révélatrices que le contenu lui-même.

Qu'est-ce que les métadonnées ?

Exemples de métadonnées :

• Appels téléphoniques : numéro appelé, durée, heure, localisation du signal
• Emails : adresse expéditeur/destinataire, serveurs relais, date/heure, adresse IP
• Messages texte : heure, numéros, localisation du téléphone
• Requêtes web : domaines visités, heures de consultation, adresse IP
• Localisation : position GPS, traces Bluetooth, connexions Wi-Fi
• Photos : date de prise, localisation GPS, modèle d'appareil, paramètres de l'objectif

Le contenu peut être chiffré, mais les métadonnées circulent généralement en clair.

Le cas de la NSA : "We Kill People Based on Metadata"

En 2014, John Brennan, directeur de la CIA, a déclaré que les métadonnées étaient si puissantes qu'elles permettaient aux États-Unis de cibler des individus pour des opérations militaires : "We kill people based on metadata" (Nous tuons des gens basé sur les métadonnées).

Le programme PRISM de la NSA, révélé par Edward Snowden, collectait des métadonnées sur des millions de communications. L'agence pouvait tracer les contacts d'une personne, identifier ses associations politiques, religieuses et professionnelles, et prédire ses comportements — sans jamais lire un seul message chiffré.

Les métadonnées révèlent plus sur vous que le contenu :

• Un appel à 3h du matin à une ligne d'écoute suicide suggère une détresse mentale.
• Des appels répétés à une clinique spécialisée révèlent des problèmes de santé.
• Un appel à un cabinet d'avocats + un appel à la police suggère un problème légal.
• Des appels réguliers à un porte-parole du gouvernement révèlent une source journalistique.

Types de métadonnées dangereuses

Métadonnées de communication

Vos appels, SMS et emails sont loggés par votre opérateur téléphonique et votre FAI. En France, cette information est obligatoirement conservée pendant 1 an (directive UE 2002/58/CE). Les autorités peuvent y accéder sur simple demande administrative.

Métadonnées de localisation

Votre téléphone divulgue votre position via :

• GPS : enregistré par les apps et services de localisation
• Cellules de téléphonie : triangulation par les antennes, connaître votre position approximative
• Wi-Fi : les réseaux Wi-Fi sont gélocalifiés (Google Maps, application Wifi)
• Bluetooth : détection de beacons proches

Métadonnées d'activité

Votre navigateur révèle chaque site que vous visitez via les requêtes DNS (même avec HTTPS). Votre FAI et votre employeur voient : www.reddit.com, healthline.com, lawyerfinder.com, etc.

Métadonnées EXIF des photos

Chaque photo prise avec un smartphone ou un appareil numérique contient des données EXIF cachées :

• Date et heure exactes de la prise
• Localisation GPS précise (coordonnées latitude/longitude)
• Modèle d'appareil (utile pour tracer le photographe)
• Paramètres techniques : sensibilité ISO, vitesse d'obturation, focale

Quand vous partagez une photo sur les réseaux sociaux ou par email sans supprimer les EXIF, vous divulguez la localisation exacte de votre maison, lieu de travail, ou rendez-vous secret.

Risques : cambriolage, harcèlement physique, doxing, surveillance par un ex-partenaire violent.

Comment minimiser l'exposition aux métadonnées

Pour les appels et SMS

• Utilisez Signal au lieu des appels téléphoniques standards. Les métadonnées des appels Signal ne révèlent pas les numéros des correspondants.
• Privilégiez les appels WiFi quand c'est possible (moins traçable que la 4G).
• Changez de numéro de téléphone régulièrement si la confidentialité est critique.

Pour les emails

• Utilisez ProtonMail (juridiction suisse, politique stricte sur les métadonnées).
• Évitez Gmail, Outlook, Yahoo — ces services peuvent accéder à vos métadonnées et les analyser.
• Activez le chiffrement de bout en bout (ProtonMail le fait par défaut).

Pour la localisation

• Désactivez la localisation par défaut dans les réglages de votre téléphone.
• Accordez des permissions de localisation "Lorsque l'app est active" uniquement (pas "Toujours").
• Utilisez un VPN pour masquer votre adresse IP (limitations : voir Introduction aux VPN).
• Sur Android, installez GrapheneOS pour un contrôle granulaire des permissions.

Pour les photos

• Supprimez les EXIF avant de partager. Outils recommandés : ExifTool (ligne de commande), IrfanView (Windows), ImageMagick.
• Sur iPhone : Réglages > Confidentialité > Localisation > Services de localisation > Photos > "Jamais".
• Sur Android : utilisez GrapheneOS ou un gestionnaire de photos qui supprime automatiquement les EXIF.
• Avant de publier une photo en ligne, vérifiez les propriétés du fichier pour confirmer que les EXIF sont supprimées.

Pour la navigation web

• Utilisez un DNS chiffré (DoH) pour masquer vos requêtes DNS à votre FAI.
• Combinaison recommandée : Mullvad Browser + ProtonVPN.
• Pour l'anonymat maximal, utilisez Tor Browser.

Pour les communications sensibles

Si vous avez besoin de communiquer de manière très sécurisée (journaliste, activiste, lanceur d'alerte) :

• Chiffrement de bout en bout + minimisation des métadonnées : Signal avec messages éphémères.
• Anonymat complet : Session (P2P, sans numéro de téléphone ni serveur central).
• Compartimentalisation : utilisez des identités séparées pour chaque domaine de vie (travail, vie privée, activisme).

L'essentiel : chiffrer votre contenu est une étape, mais protéger vos métadonnées est tout aussi crucial — sinon plus. Les métadonnées peuvent vous tuer bien avant que quelqu'un déchiffre votre contenu.