Tard un vendredi soir de juillet, quelqu'un s'est inscrit sur Canner et a téléversé une page de connexion clonée — une copie fidèle au pixel près de l'écran de connexion d'un service infonuagique bien connu, conçue pour récolter les mots de passe d'autrui. Nous l'avons repérée et retirée en moins de quinze minutes. Cela n'a rien changé. Le robot d'exploration était déjà passé, et comme les applications clientes étaient servies en sous-domaines de notre domaine principal, la Navigation sécurisée de Google a signalé le parent. Le temps de terminer, Chrome affichait un avertissement rouge pleine page — Site dangereux — sur notre site vitrine, notre tableau de bord et chaque application hébergée par nos clients.
Retirer le contenu était la partie rapide. Ce qui a occupé le reste de la fin de semaine — deux examens de sécurité nocturnes, une identité volée à trois fuseaux horaires de là, et une deuxième vague d'abus arrivée avant même que la première soit résolue — c'est la partie qui mérite d'être racontée. Elle dit quelque chose d'inconfortable sur la part de la portée d'une entreprise canadienne qui se décide ailleurs.
Le signalement était juste
Tout ce qui suit dépend d'un aveu : Google avait raison. Il y avait un véritable contenu de récolte d'identifiants sur notre infrastructure, et quiconque atteignait cette page aurait pu perdre les clés de son courriel et de tout ce qui se trouve derrière. Nous préférons être pris que manqués.
Google n'était pas non plus responsable du fait que nous étions une cible. L'inscription rapide et le déploiement instantané sont utiles à un développeur de Trois-Rivières et, inévitablement, à quiconque assemble une trousse d'hameçonnage. Gérer cela est notre travail, et nous en avons fait une bonne part. Ce n'est donc pas une plainte au sujet d'être signalé — c'est un récit de ce que le signalement a fait.
Deux examens après minuit
Le contenu retiré et la plateforme balayée, nous avons fait la seule chose que le processus permet : soumettre le domaine pour examen, et attendre.
Le premier résultat est revenu tard cette nuit-là — échec. Le plus étrange, c'était ce qu'il pointait. Les URL d'exemple n'étaient pas l'hameçonnage ; c'étaient deux pages de nos propres outils internes — la console que notre équipe utilise pour inspecter un déploiement retenu. Elle faisait son travail un peu trop bien, affichant fidèlement le balisage capturé de la page clonée pour qu'un humain puisse l'examiner. Et pour un classificateur automatisé, une page qui rend un formulaire de connexion cloné est un formulaire de connexion cloné. Nous avions brièvement reproduit la chose que nous retirions.
Nous avons reconstruit l'outil pour qu'il ne rende jamais le balisage capturé — la preuve reste caviardée et derrière un clic explicite. Nous avons tenté de répondre à l'examen pour l'expliquer ; la réponse a échoué. L'avertissement s'est dissipé de lui-même — puis, environ vingt-six heures après la première mise en ligne de la page, un second signalement est tombé et le mur est revenu.
Il y a une texture particulière à rafraîchir une console de sécurité après minuit pour trouver une décision à laquelle on ne peut pas parler, annulée puis rétablie, sur une horloge qu'on ne contrôle pas. Rien de tout cela n'était malveillant. Ce n'était tout simplement pas conçu pour nous inclure.
Le nom sur le compte
Un détail de cette première nuit nous a marqués plus que la panne elle-même.
Le compte derrière l'hameçonnage s'était inscrit avec une vraie adresse courriel — une adresse qui appartenait à une universitaire connue en Pologne. Elle n'avait rien fait de tout cela. Son courriel avait été compromis et utilisé comme une identité toute prête, déjà de confiance : une boîte aux lettres fonctionnelle passe la vérification à l'inscription, ce qui est précisément ce qui rend une adresse volée intéressante. Elle était la première victime, avant même que le moindre mot de passe soit en jeu.
Nous avons donc tenté de la prévenir — délibérément pas par l'adresse figurant sur le compte, puisque celui qui contrôlait cette boîte était le problème. Nous avons joint son département universitaire et lui avons demandé de la prévenir directement.
C'est peu de chose face à une opération d'identifiants de cette ampleur. Mais c'est la partie de la fin de semaine qui nous laisse le moins de doutes. En amont du signalement, de l'interstitiel et de la file d'examen se trouvait une vraie personne dont on utilisait le nom, et aucun des systèmes qui arbitraient tout cela n'avait de place pour elle.
La suite
L'abus n'arrive pas une seule fois pour s'arrêter. Avant la fin de la fin de semaine, deux nouveaux comptes ont dressé vingt sites quasi identiques entre eux — un réseau de jeux d'argent du genre conçu pour les moteurs de recherche plutôt que pour les gens, chaque page acheminant discrètement les visiteurs ailleurs.
Cette fois, nous en avons vu la forme presque immédiatement, avons mis les vingt hors ligne et suspendu les deux comptes le jour même — puis resserré la détection pour que le prochain réseau du genre se déclenche automatiquement plutôt qu'à un second regard. C'était la preuve la plus claire que le durcissement fait sous pression fonctionnait : la deuxième vague n'a jamais atteint le point où la première était parvenue.
Une décision, trois systèmes
Voici le fait structurel que la fin de semaine a rendu concret. Une détermination de la Navigation sécurisée n'est pas un avertissement de site web ; c'est une entrée dans un écosystème, et elle a atteint trois parties distinctes de notre entreprise d'un coup.
Le navigateur.Chrome détient environ les deux tiers du marché mondial, et la même liste alimente Firefox et Safari. Un signalement n'est pas une pénalité de classement qu'on contourne — c'est un interstitiel conçu pour que les visiteurs ne passent pas outre. Le commerce d'un client tournant chez nous était de fait fermé pour la durée, sans avoir rien fait.
La publicité.Notre compte publicitaire a été signalé à son tour, au motif qu'il menait à une « destination compromise ». Le canal d'acquisition s'est coupé au même instant que le site — la même entreprise arbitrant les deux, sur le même signal.
Le courriel.Les courriels contenant nos liens sont devenus bien plus susceptibles d'être filtrés. Le message que nous avions le plus besoin d'envoyer — expliquer aux clients ce qui s'était passé et que leurs données étaient intactes — était lui-même dégradé par le signalement dont il traitait. Il y a quelque chose d'absurde à ce qu'un avis d'incident soit rendu indistribuable par l'incident lui-même.
Trois systèmes, une décision, aucun examen entre eux — parce qu'il n'y a aucune indépendance à invoquer. C'est une seule entreprise qui exploite le navigateur, le marché publicitaire et, par Gmail, une grande part de l'endroit où le courriel atterrit.
L'asymétrie
Ce qui pique, c'est la forme. Nous avons retiré la cause en quinze minutes. Rétablir ce que le signalement avait désactivé n'était jamais de notre ressort : on soumet une demande et on attend — un jour, parfois plus — sans position dans la file, sans agent responsable, sans personne à qui dire le contenu est parti, voici la preuve avant que le ré-exploration ne vous parvienne.
Comparez cela à un régulateur national. Si une autorité canadienne ordonnait la fermeture d'une entreprise pour un jour et demi, il y aurait une base légale, un décideur nommé, un droit de réponse, un appel et une réparation en cas d'erreur. Rien de cela n'existe ici — non par mauvaise foi, mais parce que le mécanisme n'a jamais été conçu pour le contenir. Notre capacité à servir des clients canadiens, sur du matériel canadien, sous le droit canadien, a été suspendue puis rétablie selon un calendrier fixé entièrement hors du pays.
Pourquoi c'est un problème de souveraineté, pas un problème Google
Il serait facile, et faux, de lire ceci comme un argument contre la Navigation sécurisée. La liste est un bien public, l'hameçonnage est un préjudice réel, et le signalement était exact.
Le problème, c'est la concentration. Le jugement automatisé d'une seule entreprise étrangère peut, d'un seul geste, rendre une entreprise canadienne inaccessible dans le navigateur dominant, incapable de faire de la publicité et incapable de joindre de façon fiable ses propres clients par courriel — sans équivalent national à aucune couche. Pas de navigateur canadien, pas de marché publicitaire d'importance, pas de système de réputation du courriel. Quand le jugement est juste, nous l'absorbons et nous améliorons, ce que nous avons fait. Quand il est faux, la même machinerie s'applique avec la même force, et le recours est identique : soumettre un formulaire, attendre.
Nous défendons habituellement la souverainetéen termes de données — où elles vivent, quels tribunaux peuvent les contraindre. C'est juste mais incomplet. La résidence des données est une dépendance ; la joignabilitéen est une autre, et plus immédiate. Peu importe la juridiction où se trouve votre base de données si un navigateur ailleurs décide que vos visiteurs ne devraient pas arriver. Une clinique, une caisse populaire, une municipalité reposent toutes sur la même dépendance, et la plupart le découvrent comme nous l'avons fait.
Ce que nous avons changé
Les problèmes structurels appellent des réponses structurelles. Deux ont été livrées.
Les applications clientes ont déménagé sur leur propre domaine.La Navigation sécurisée juge un domaine enregistrable comme un tout — c'est précisément pourquoi une seule page a atteint tout le monde. Les applications clientes vivent maintenant à votre-projet.canner.app, entièrement distinct de notre site principal, de sorte qu'un futur incident est contenu à l'application qui l'a causé. Les applications existantes conservent leur ancienne adresse pour de bon.
Les déploiements sont vérifiés avant leur mise en ligne. Chaque version passe désormais une analyse avant publication à la recherche des empreintes du contenu de récolte d'identifiants et des pages satellites, aux côtés du bac à sable et des contrôles d'abus déjà en place dans le pipeline. Tout élément suspect est retenu et jamais publié, en attente d'un humain. Nous l'avons calibrée contre de vrais abus et contre chaque site légitime que nous hébergeons — elle attrape le mauvais et ne retient rien du bon, et, comme le réseau de jeux d'argent l'a constaté, elle se déclenche désormais sur la deuxième vague, pas seulement sur la première.
Ni l'un ni l'autre ne nous rend immunisés ; l'abus déterminé finit par passer sur toutes les plateformes, y compris celles mille fois plus grandes que nous. Ce qu'ils changent, c'est le rayon de l'explosion, et la vitesse à laquelle nous le voyons.
La conclusion honnête
Nous hébergions de l'hameçonnage. Nous avons été signalés pour cela. Les deux sont vrais, ni l'un ni l'autre n'est injuste.
Et pourtant : une entreprise canadienne, servant des clients canadiens sur du matériel au Québec, a vu son site web, sa publicité et ses courriels coupés ensemble par une seule décision automatisée prise ailleurs — puis rétablis quand cette décision a été revue selon le calendrier de quelqu'un d'autre. Chaque étape était défendable. L'ensemble, c'est une petite entreprise avec peu de voix sur sa propre joignabilité, et une universitaire à un océan de là qui n'a jamais su que son nom figurait sur tout cela.
Nous avons bâti Canner parce que nous croyons qu'il importe de savoir où vit l'infrastructure et quel droit la gouverne. Cette fin de semaine nous a appris que la dépendance est plus large que la base de données. Elle passe par le navigateur qui affiche votre site, le marché qui vend vos annonces et le filtre qui décide si votre courriel arrive. Nous avons réduit notre exposition là où nous le pouvons. La majeure partie ne nous appartient pas — et c'est cela, plus que toute plainte au sujet d'être pris, qui mérite qu'on en parle.