Comment auditer les apps mobiles qui vous traquent sans votre consentement
Si vous avez installé une app récemment, vous avez surement remarqué le petit popup RGPD qui vous demande votre consentement pour les cookies et le tracking. Vous cliquez évidemment sur "Refuser" en vous disant que c'est réglé... Ben en fait... non.
Des chercheurs ont passé au crible 400 applications mobiles populaires (200 sur Android, 200 sur iOS) et résultat, 100% d'entre elles violent au moins une exigence du RGPD. Et près de la moitié de ces apps continuent à contacter des trackers MÊME APRÈS que vous ayez dit non.
Sympa le "consentement" !
Du coup, plutôt que de vous laisser vous faire gauler par ces mouchards, je vous propose un petit guide pour auditer vous-même les apps que vous utilisez. Sans vous prendre la tête, promis.
Ce qu'il vous faut
- Un téléphone Android (iOS, c'est plus compliqué, Apple verrouille tout)
- TrackerControl , l'outil d'audit qu'on va utiliser
- 10 minutes de votre temps
- L'option "Sources inconnues" activée dans les paramètres sécurité d'Android (l'app n'est pas sur le Play Store...)
Étape 1 : Installer TrackerControl
TrackerControl est donc un outil open source développé par des chercheurs. La bestiole analyse le trafic réseau de chaque app pour détecter les connexions vers des serveurs de tracking.
Rendez-vous sur le GitHub du projet et téléchargez l'APK. Installez-le en autorisant temporairement les sources inconnues.
Étape 2 : Lancer l'audit
Une fois installé, TrackerControl se comporte comme un VPN local (vos données ne sortent pas de votre téléphone, rassurez-vous). Activez-le et lancez l'app que vous voulez auditer.
L'outil va alors intercepter toutes les connexions sortantes et les classer : publicité, analytics, tracking social, fingerprinting... Y'a de quoi faire le tri !
L'interface de TrackerControl - sobre mais efficace ( Source )
Étape 3 : Interpréter les résultats
Ce qu'il faut surveiller :
- Connexions AVANT toute action : Si l'app contacte des trackers dès son lancement, avant même que vous ayez vu un popup de consentement, c'est une violation du critère "Prior consent"
- Connexions APRÈS refus : Relancez l'app après avoir refusé le tracking. Si des connexions partent quand même vers Google Analytics, Facebook ou autres... bingo !
- Le nombre de domaines contactés : Une app de lampe torche qui contacte 15 serveurs différents, c'est suspect (oui ça existe)
Détail des trackers détectés - on voit tout ce qui sort ( Source )
Les 6 critères RGPD que les apps violent
L'étude suivante a identifié six types de violations :
- Prior : L'app collecte VOS données avant de vous demander votre avis
- Informed : On vous dit pas vraiment ce qu'on fait avec vos données
- Freely-given : Pas le choix, c'est "accepte ou dégage"
- Specific : Le consentement est trop vague, genre "améliorer nos services"
- Unambiguous : L'interface est conçue pour vous faire cliquer sur "Accepter"
- Revocable : Vous dites non, mais ça continue quand même (près de la moitié des apps)
C'est flippant, non ? Comme je vous l'expliquais dans mon article sur le mythe du smartphone espion , le vrai problème n'est pas le micro qui vous écoute... c'est ce réseau de data brokers qui aspire tout ce qu'ils peuvent.
Dépannage
Et si TrackerControl ne détecte rien, vérifiez que le "VPN" est bien actif (icône de clé dans la barre de notifications). Certaines apps détectent les VPN et changent leur comportement, du coup relancez plusieurs fois pour être sûr.
Pour aller plus loin dans la protection de vos données, j'ai publié également ce guide sur la suppression de vos données personnelles qui vous donnera quelques pistes.
Voilà, maintenant vous avez les outils pour aller à la pêche aux trackers. De quoi regarder vos apps d'un autre œil, j'imagine !

















(Avec le petit boîtier AirPlay de chez Belkin)





