Comment protéger ses données sur un site méconnu

Un internaute découvre un service en ligne dont il n'avait jamais entendu parler, souvent via un lien partagé ou un résultat de recherche. Il hésite à créer un compte, car il ne sait rien de l'éditeur, ni de l'usage qui sera fait de ses informations.

La question ne se résume pas à « faire confiance ou non ». Elle porte sur les moyens concrets de limiter ce qui est exposé, et sur les différences entre ces moyens selon le niveau de risque accepté.

Ce qu'un site méconnu peut réellement collecter

Un site reçoit toujours plus d'informations que ce que l'utilisateur saisit volontairement. L'adresse IP, le type de navigateur, le système d'exploitation, la résolution d'écran et la langue sont transmis automatiquement à chaque requête. Ces éléments, pris isolément, sont peu identifiants, mais leur combinaison forme une empreinte qui peut devenir reconnaissable.

À cela s'ajoutent les données fournies activement : adresse électronique, numéro de téléphone, parfois pièce d'identité pour les services soumis à vérification. Le site peut aussi déposer des cookies, utiliser des scripts de mesure d'audience tiers, ou intégrer des ressources hébergées ailleurs, qui voient alors passer la visite.

La difficulté tient à l'asymétrie : l'utilisateur ne peut pas vérifier ce qui est stocké, combien de temps, ni avec qui ces données sont partagées. Les mentions légales et la politique de confidentialité donnent des indications, mais leur absence ou leur caractère lacunaire est en soi un signal.

Les leviers disponibles, du plus simple au plus contraignant

Le premier levier consiste à ne pas fournir plus que nécessaire. Une adresse électronique dédiée, distincte de la boîte principale, permet de recevoir les messages de confirmation sans exposer son identité habituelle. Elle ne protège pas contre le recoupement par d'autres moyens, mais elle limite la propagation de l'adresse principale.

Le deuxième levier porte sur le navigateur. Les modes de navigation privée effacent les traces locales en fin de session, sans empêcher le site de collecter ce qu'il voit pendant la visite. Le blocage des scripts tiers, via des extensions dédiées, réduit le nombre d'acteurs qui observent la page. Ces outils demandent un réglage initial et peuvent casser certaines fonctionnalités.

Le troisième levier est le réseau. Un réseau privé virtuel remplace l'adresse IP réelle par celle d'un serveur intermédiaire, ce qui masque la localisation approximative et l'opérateur. Le fournisseur du réseau voit alors le trafic à la place du site. Le déplacement du point de confiance ne l'annule pas.

Le quatrième levier concerne l'authentification. Réutiliser un mot de passe déjà employé ailleurs est le principal facteur d'aggravation en cas de fuite : une base compromise sur un site mineur peut donner accès à des comptes sensibles si le mot de passe est identique. Un gestionnaire de mots de passe génère des identifiants distincts par service et évite ce scénario.

Enfin, certains services proposent une authentification à deux facteurs. Quand elle est disponible, elle ajoute une étape que la seule connaissance du mot de passe ne suffit pas à franchir. Tous les sites méconnus ne la proposent pas, et certains ne l'appliquent qu'à la connexion, pas aux modifications de compte.

Limites et cas où ces précautions ne suffisent pas

Aucun de ces moyens n'empêche un site de revendre des données déclarées. Si l'utilisateur fournit son vrai nom, son adresse postale ou son numéro de téléphone, ces informations peuvent circuler indépendamment des protections techniques. La protection technique agit sur la collecte passive, pas sur ce qui est donné sciemment.

Les mesures décrites ont aussi un coût. Le blocage de scripts peut empêcher l'affichage correct d'une page ou le fonctionnement d'un formulaire. Un réseau privé virtuel ralentit parfois la connexion et déplace la confiance vers un opérateur dont les pratiques varient. Un gestionnaire de mots de passe crée un point unique qu'il faut sécuriser en priorité.

Il existe par ailleurs des situations où la vérification d'identité est exigée par la loi ou par le service lui-même, par exemple pour les plateformes financières ou les services de santé. Dans ces cas, l'anonymat complet n'est pas possible. La question devient alors celle du choix du service, pas celle de la protection à l'intérieur de celui-ci.

Un autre angle consiste à examiner l'éditeur avant de s'inscrire. La présence d'une entité juridique identifiable, de coordonnées de contact, d'une politique de confidentialité datée et cohérente avec le service proposé constitue un ensemble d'indices. Leur absence n'est pas une preuve de mauvaise intention, mais elle réduit les recours en cas de problème.

La combinaison la plus efficace reste modeste : une adresse dédiée, un mot de passe unique, une authentification à deux facteurs quand elle existe, et une limitation des informations personnelles fournies. Le reste dépend de ce que le site fait de ces données, sur quoi l'utilisateur n'a, en pratique, aucune prise directe.