Aller au contenu
TrickyBird

Comprendre

Les proxys web gratuits sont‑ils sûrs ?

Certains oui, d’autres non. Un proxy web gratuit fait passer chaque page que vous ouvrez par un serveur que quelqu’un d’autre contrôle, et un proxy mal géré y ajoute ses propres publicités ou laisse sans chiffrement la connexion entre lui et vous. Les 3 vérifications de cette page, valables aussi pour le nôtre, vous aident à déterminer à quel genre de proxy vous avez affaire.

Le site dont vous avez besoin est bloqué : vous collez le lien dans le premier proxy gratuit venu, et le site s’ouvre. L’exploitant de ce proxy peut lire chaque page au passage et la modifier avant qu’elle ne vous parvienne.

Faites ces 3 vérifications sur n’importe quel proxy web, le nôtre compris.

Que peut voir un proxy web gratuit ?

Tout ce que vous ouvrez par son intermédiaire. Un proxy web récupère le site sur son propre serveur, réécrit la page pour que ses liens passent par le proxy, puis vous l’envoie. Pour réécrire une page, le proxy doit la lire : les pages que vous ouvrez, les recherches que vous lancez et les formulaires que vous remplissez sont donc tous lisibles sur ce serveur, que le site utilise HTTPS ou non, car le chiffrement s’arrête au proxy et reprend sur le trajet jusqu’à vous. C’est le cas de tous les proxys web, TrickyBird compris.

Le HTTPS reste utile, mais pour une autre raison : il chiffre la connexion entre votre navigateur et le proxy, c’est‑à‑dire la partie du trajet qui passe par votre réseau.

Tout proxy web peut voir votre trafic. Jugez‑le sur ce qu’il en fait.

Que font les proxys mal gérés ?

En 2015, le chercheur en sécurité Christian Haschek a testé 443 serveurs proxy gratuits trouvés via Google. Sur les 199 qui étaient en ligne, 157 ne prenaient pas du tout en charge HTTPS, et 33 modifiaient les pages qu’ils renvoyaient, certains pour y ajouter des publicités. Ces chiffres décrivent la situation de 2015, pas les listes d’aujourd’hui. Les problèmes qu’ils mettent en lumière restent ceux à surveiller.

  • Publicités ajoutées : au passage, le proxy insère dans la page ses propres publicités, fenêtres surgissantes ou scripts. Ces éléments semblent faire partie du site, et un script ajouté de cette façon peut lire ce que vous saisissez sur cette page.
  • Pas de chiffrement : le proxy sert ses pages en HTTP non chiffré, si bien que n’importe qui sur votre réseau peut lire ce que vous envoyez par son intermédiaire.
  • Journalisation : le proxy garde une trace des sites que vous visitez, sans limite de durée, et personne à l’extérieur ne peut consulter ce relevé. Seule sa politique écrite indique ce qu’il conserve.

Comment vérifier vous‑même un proxy web

3 vérifications, chacune sur le proxy que vous utilisez en ce moment. Aucune ne demande d’outils de développement. Pour TrickyBird, notre test de fuite ajoute des contrôles plus techniques.

  • Connexion sécurisée : cliquez sur l’icône à l’extrémité gauche de la barre d’adresse (un cadenas ou, dans Chrome, l’icône « Afficher des informations sur le site »). Votre navigateur doit indiquer que la connexion est sécurisée. S’il affiche « Non sécurisé », tout ce que vous saisissez sur ce proxy circule sans chiffrement.
  • Publicités ajoutées : ouvrez un site que vous connaissez bien et cherchez des publicités, des fenêtres surgissantes ou des invitations à télécharger qu’il n’affiche pas d’habitude, ou une redirection vers une page que vous n’avez pas demandée. Si vous voyez l’un de ces signes, le proxy en est probablement la cause.
  • Politique de conservation : cherchez une page qui indique ce que le proxy enregistre et pendant combien de temps, chiffres à l’appui. Si vous n’en trouvez pas, partez du principe que le proxy conserve tout.

Que montrent les vérifications sur TrickyBird ?

La barre d’adresse affiche l’une de nos propres adresses à la place de celle du site ; parfois ce ne sont que des chiffres. La connexion vers cette adresse passe par HTTPS, et votre navigateur la signale donc comme sécurisée.

TrickyBird n’injecte aucune publicité ni aucun traqueur à votre insu dans les pages que vous ouvrez avec lui. Il ajoute une petite barre qui indique sur quel site vous êtes, et les publicités présentes sur la page viennent du site lui‑même.

TrickyBird tient un petit journal d’accès sur ses serveurs : il y conserve une version tronquée de votre adresse IP, le nom d’hôte de destination et des données de réponse basiques, pendant 48 heures au maximum. Le journal n’enregistre pas les pages précises que vous ouvrez. La page Sécurité détaille ce que contient le journal et la façon dont le proxy conserve les cookies des sites que vous ouvrez.

En bref

Tout proxy web peut lire ce que vous ouvrez par son intermédiaire : jugez‑le donc sur ce qu’il ajoute à la page et sur ce qu’il conserve. Sur n’importe quel proxy, le nôtre compris, 3 vérifications montrent si votre navigateur signale la connexion comme sécurisée, si le proxy ajoute des publicités ou des fenêtres surgissantes, et ce qu’il dit conserver.

Questions

Un proxy gratuit peut‑il voler mes mots de passe ?
Il peut les lire. Un proxy web traite sur son propre serveur ce que vous saisissez, et un proxy mal géré peut le conserver, ou servir ses pages sans chiffrement, de sorte que d’autres personnes sur votre réseau peuvent le lire aussi. Avant de saisir quoi que ce soit, vérifiez l’indicateur de connexion sécurisée dans la barre d’adresse et cherchez une politique de journalisation écrite, chiffres à l’appui. Gardez vos coordonnées bancaires et vos numéros de carte pour une connexion de confiance.
Un proxy web est‑il plus sûr qu’un VPN gratuit ?
Ni l’un ni l’autre n’est plus sûr en règle générale. Un VPN gratuit fait passer tout le trafic de votre appareil par les serveurs d’une entreprise, alors qu’un proxy web ne fait passer qu’un site, dans un onglet. L’un comme l’autre voit où va votre trafic, et un service gratuit se finance d’une manière ou d’une autre. Posez‑leur la même question : que conservez‑vous, et pendant combien de temps ? Notre guide Proxy web ou VPN traite le reste.
Comment savoir ce qu’un proxy enregistre sur moi ?
Vous ne pouvez pas voir les journaux d’un serveur depuis l’extérieur : fiez‑vous donc aux engagements écrits du proxy. Un proxy digne de ce nom indique ce qu’il enregistre et combien de temps il le garde. Le journal d’accès de TrickyBird conserve une version tronquée de votre adresse IP, le nom d’hôte de destination et des données de réponse basiques, pendant 48 heures au maximum.
Les serveurs proxy sont‑ils sûrs ?
Tout dépend de qui les gère. Un serveur proxy que vous indiquez dans les réglages de votre navigateur ou de votre appareil (souvent une adresse et un port tirés d’une liste publique gratuite) voit passer tout le trafic qui utilise ces réglages, et son exploitant peut en enregistrer la destination. N’en utilisez un que si vous savez qui le gère et ce qu’il conserve. Un proxy web comme TrickyBird ne fait passer qu’un site, dans un onglet.

Pour aller plus loin

À lire aussi :