🌐 Aussi en: English · Deutsch · Español
Avant tout : ceci est un retour d’expérience, pas un conseil juridique. Je suis administrateur, pas juriste. En cas de doute, demandez à quelqu’un dont c’est le métier.
Un blog tech privé en Allemagne n’est pas une zone de non-droit. Mentions légales, protection des données, droit d’auteur sur les images – tout cela comporte un risque de mise en demeure, et plus un blog vit longtemps, plus les choses s’accumulent. En octobre, j’ai donc passé mon blog en revue de façon systématique : où pourrais-je marcher sur les pieds de quelqu’un, où est-ce que je révèle plus que nécessaire, et où suis-je attaquable ? Cet article résume ce que j’ai trouvé et modifié.
🖼️ Des images qui ne m’appartiennent pas
Le plus gros morceau, c’étaient les images. Au fil des ans s’étaient accumulées des choses que je n’avais pas faites moi-même :
- Photos de produits de fabricants : deux photos d’appareils et un graphique comparatif avec les logos d’applications d’autres entreprises. Remplacés par mes propres illustrations.
- Logos officiels : plusieurs fichiers de logos de projets logiciels traînaient dans la médiathèque sans être utilisés nulle part. Supprimés.
- Images générées par IA avec des personnages de tiers : quelques images à la une montraient des personnages et motifs reconnaissables de films et de jeux. Même générés par IA, ce sont des marques et des personnages appartenant à d’autres. Floutées, avec une courte mention en dessous.
- Captures d’écran avec des personnes : une ancienne capture de la page de connexion contenait des photos d’exemple de vraies personnes, dont un enfant. Floutée également.
- Une couverture de livre : d’abord créditée, puis retirée complètement de l’article.
À cela s’ajoutaient deux intégrations de serveurs tiers : une image chargée directement depuis GitHub et un lecteur vidéo d’une autre plateforme. Les deux récupèrent des données chez des tiers à l’affichage de la page – et transmettent au passage l’adresse IP du visiteur. L’image est désormais sur mon propre serveur ; le lecteur a été remplacé par une image d’aperçu avec un lien.
À retenir : « ce n’est qu’une image à la une » ne protège pas. Ce qui n’est pas fait soi-même, expressément sous licence libre ou clairement cité n’a rien à faire sur le site – pas même dans la médiathèque s’il n’est plus utilisé nulle part.
📷 Ce que les photos révèlent
Les photos prises au smartphone emportent des métadonnées : modèle de l’appareil, heure de prise de vue, un identifiant unique, souvent la position GPS. Une vérification des quelque 1 200 images en a encore trouvé dans certaines photos ; heureusement, les champs GPS étaient vides. J’ai supprimé ces métadonnées sans perte – l’image elle-même est restée identique, pixel pour pixel.
Les noms de fichiers en disent long aussi : deux images portaient encore le nom que leur avait donné l’outil d’IA. Elles ont reçu des noms parlants.
Depuis octobre, une petite extension convertit chaque nouvelle image au moment de l’envoi : WebP, 1 536 pixels de large au maximum, moins de 280 Ko. La raison de cette limite est une découverte annexe – WhatsApp affichait une mauvaise image d’aperçu pour les liens partagés, parce qu’il ignore tout simplement les images d’aperçu de plus de 300 Ko environ. 128 articles sur 468 étaient concernés.
À retenir : une image, c’est plus que ses pixels. Il faut vérifier métadonnées et noms de fichiers avant l’envoi – ou les faire nettoyer automatiquement à l’envoi.
📜 Une politique de confidentialité conforme à la réalité
Ma politique de confidentialité venait à l’origine d’un générateur. Elle décrivait un formulaire de contact qui n’a jamais existé, une analyse du comportement qui n’a jamais tourné – et ne disait pas un mot de ce qui se passe réellement.
J’ai donc réécrit la partie sur l’exploitation :
- Journaux du serveur : quels champs une requête laisse dans le journal et combien de temps ils sont conservés.
- Protection contre les attaques : fail2ban bloque temporairement les adresses après des échecs répétés.
- Statistiques de visite : je compte les visiteurs sans traceur et sans cookies, uniquement de façon agrégée à partir des journaux.
- Ce qui n’existe pas : pas de polices externes, pas de scripts de tiers, pas de cookies publicitaires ni d’analyse.
À retenir : une politique de confidentialité faite de modèles est fausse au moment où cela compte. Elle doit décrire ce que fait vraiment son propre serveur – et seul celui qui l’exploite le sait.
🤖 La mention sur l’IA – et des citations qui n’ont jamais existé
Beaucoup de mes textes et images sont créés avec l’aide de l’IA ; une mention dédiée le précise sur le blog. Un point n’y était toutefois pas tout à fait honnête : elle affirmait que les captures d’écran n’étaient pas retouchées – beaucoup sont caviardées. C’est désormais corrigé.
Plus grave, une découverte dans un ancien article : trois phrases présentées comme la citation d’une personnalité connue, qui ne les a jamais prononcées ainsi. Un modèle de langage les avait « complétées » de façon plausible. L’article ne contient plus qu’une seule citation vérifiable, avec sa source ; ma propre interprétation est signalée comme telle.
À retenir : l’IA écrit des citations crédibles. Chaque citation a besoin d’une source qu’on a lue soi-même – sinon, ce n’en est pas une.
🏷️ Les mentions légales : obligatoires, mais pas sur Google
Un site allemand doit avoir des mentions légales (§ 5 DDG), avec le nom du responsable du contenu. Elles doivent être faciles à atteindre – mais pas forcément apparaître dans tous les moteurs de recherche. Les miennes contiennent mon adresse postale, et je ne veux pas la voir comme résultat de recherche pour mon nom.
Les mentions légales et la politique de confidentialité portent donc noindex dans les quatre langues : les moteurs de recherche ne les indexent pas, mais les visiteurs les atteignent par le lien en pied de chaque page. Depuis peu, le pied de page contient aussi une phrase de clause de non-responsabilité – dans la langue du visiteur, avec un lien vers la section correspondante des mentions légales : tout n’est que mon avis personnel, rien n’est un conseil juridique, professionnel ou de sécurité, et qui reprend quelque chose doit d’abord le tester.
Et puis il y avait les mentions légales en mode sombre. Elles venaient à l’origine d’un bloc HTML tout fait issu d’un modèle clair, avec des couleurs codées en dur – un texte gris foncé, un encadré gris clair autour de l’empreinte PGP. Sur le fond sombre du blog, c’était à peine lisible. La solution était simple : supprimer les couleurs fixes pour laisser agir celles du thème.
À retenir : les informations obligatoires doivent être accessibles, pas trouvables. Et du HTML copié apporte son design avec lui – y compris là où il ne convient pas.
Un second passage. Après avoir écrit cet article, j’ai de nouveau comparé tout le blog à son contenu, et cela en valait la peine. L’extension de traduction posait pendant un an un cookie de langue que ma politique de confidentialité ne mentionnait pas ; il est désormais désactivé. Quelques captures d’écran montraient encore des adresses IP publiques, le prénom d’une proche et un numéro de série de serveur, et un journal contenait encore une adresse IP. Tout cela est masqué ou remplacé. Huit images inutilisées ont quitté la médiathèque, dont cette couverture de livre, et les descriptions d’images trop vagues ont été réécrites.
🎯 Les leçons
- Uniquement des images personnelles ou sous licence propre – les images générées par IA peuvent aussi porter atteinte aux droits d’autrui.
- Vérifier métadonnées et noms de fichiers – idéalement de façon automatique à l’envoi.
- Héberger soi-même ou mettre en lien les contenus de tiers – chaque intégration envoie des données des visiteurs à quelqu’un d’autre.
- Aligner la politique de confidentialité et la mention sur l’IA sur la réalité – les modèles et les mentions enjolivées sont attaquables.
- Vérifier soi-même chaque citation – un modèle de langage les invente de façon convaincante.
