Catégorie : Actu

Les élections présidentielles sont-elles menacées par des cyberattaques ?

A l’aube des présidentielles françaises, le cyberespace est déstabilisé par de nombreuses attaques visant directement les sites des plus importants partis politiques.

Si les entreprises privées sont confrontées chaque jour à ce type d’attaques, les partis politiques n’ont pas forcément suivi la tendance en s’armant suffisamment contre des hackeurs décidés à semer le trouble. Il s’agirait d’un « phénomène nouveau et inquiétant en train de se produire au cœur de l’élection présidentielle » selon Richard Ferrand, le secrétaire général du mouvement EnMarche!.

L’affaire des mails d’Hillary Clinton lors de la campagne américaine avait d’ores et déjà révélé des failles existantes. Aujourd’hui en France, François Hollande a demandé en Conseil des ministres que des « mesures spécifiques de protection et de vigilance, y compris dans le domaine cyber » soient prises dans le cadre de la campagne électorale.

Face à cette effervescence, les attaques ont-elles un réel impact sur la campagne présidentielle ? De quel type d’attaque parle-t-on ? Quelles mesures sont prises par l’Etat ou les partis pour y faire face ?

C’est le site d’Emmanuel Macron, en-marche.fr, qui fait le plus parler de lui. En effet, selon Mounir Mahjoubi, responsable de la campagne numérique du candidat, près de 4000 attaques ont été recensées en un mois, ralentissant ou rendant le site inaccessible.

Interviewé par Le Monde le 14 février dernier, Mounir Mahjoubi indique qu’il peut s’agir de plusieurs types d’attaque.

D’abord, on parle de simples DDoS (attaques par déni de service) consistant à faire tomber un site Internet en le surchargeant de connexions simultanées. Ces attaques peuvent être commandées à distance, et sont assez simples à mettre en œuvre.

A l’heure des objets connectés, le cabinet Deloitte indique qu’en 2017, les attaques par DDoS « prendront de l’ampleur, qu’elles seront plus difficiles à atténuer et plus fréquentes. Au cours des dernières années, on a assisté à un jeu du chat et de la souris, dans lequel aucune des deux parties n’est devenue trop puissante. Cependant, la situation pourrait changer en 2017 en raison de l’abondance de dispositifs Internet des objets non sécurisés et du fait que les attaques à grande échelle exploitant les vulnérabilités des appareils IdO sont devenues plus simples à exécuter. », souligne le cabinet dans son rapport TMT Prédictions 2017.

(source https://www2.deloitte.com/ch/fr/pages/technology-media-and-telecommunications/articles/tmt-predictions.html)

Cyberattaques présidentielles
Rapport du cabinet Deloitte sur les attaques par DDoS

 

Une infrastructure DNS sécurisée avec filtrage anti-DDoS permet aujourd’hui de pouvoir supporter de telles attaques.

Ensuite, des injections SQL, consistant à modifier une requête SQL en injectant des morceaux de codes non filtrés, font parties des « meilleures » failles de sécurité pour les hackers. L’attaquant détourne les requêtes en y injectant une chaîne non prévue par le développeur et pouvant compromettre la sécurité du système. Mounir Mahjoubi indique qu’il existe des outils automatisés reconnaissables et maîtrisables. Cependant, certaines attaques sont plus spécifiques et par conséquent plus dangereuses.

Un troisième type d’attaque est recensé : les scans de port. Ce type d’attaque consiste à trouver les failles de sécurité d’un serveur réseau pour généralement préparer une intrusion.

Enfin, EnMarche! serait concerné par des tentatives de connexion à leurs bases de données, qui pourraient être bien plus préjudiciables.

Si Richard Ferrand a trouvé son coupable (la plupart des attaques étant identifiées par des IP venant d’Ukraine) en dénonçant une « ingérence d’un régime russe déterminé à déstabiliser l’un des candidats susceptibles de remporter cette élection », rien ne prouve formellement l’identité des hackers. Certes, la Russie est réputée pour recruter des hackers qui seraient plus qualifiés que la moyenne, disposant de formations qualifiées, de moyens techniques bien plus développés qu’en Europe, et coutumiers de la « tradition informatique » datant d’avant la chute de l’ex-URSS. Cependant, des techniques très basiques et accessibles permettent de détourner l’origine des requêtes.

Comme l’indique Damien Bancal, fondateur de Zataz, les programmes malveillants automatisés cherchant un accès sont nombreux en Russie. Ces programmes représenteraient 54% des connexions Internet selon 20minutes. Ils cherchent des portes d’entrée. De plus, des sites sous WordPress sont très facilement attaquables, surtout lorsqu’ils ne sont pas mis à jour régulièrement comme les sites de Monsieur Macron ou de Monsieur Fillon !

Ce qui semble sûr, c’est que ces attaques sont organisées et coordonnées par un groupe structuré, et non par des hackers agissant en solitaire.

Le Parti Socialiste a également été touché par des intrusions. Le 26 janvier dernier, une attaque DDoS a été revendiquée par Anonymous en dénonçant l’état d’urgence mis en place par le gouvernement.

Cyberattaques présidentielles
Compte Twitter de Jean-Christophe Cambadélis

Il existe donc des attaques, et cela inquiète nos candidats. Mais quels sont les réels risques pour leur campagne ?

Depuis l’élection de Donald Trump, il flotte comme une odeur de suspicion quant au rôle que la Russie aurait joué sur sa campagne. En effet, le Washington Post accuserait Vladimir Poutine et la Russie d’avoir influencé la campagne électorale américaine en faveur de Donald Trump par le biais de Sputnik, ce média critiqué et présenté comme un journal de propagande russe.

Aujourd’hui, ce doute plane au-dessus du Front National. Selon la DGSE, les services secrets russes seraient en train de préparer une campagne virale en faveur de Marine Le Pen, grâce à leurs robots capables d’inonder les réseaux sociaux de messages de soutien. L’idée est du susciter un engouement collectif à l’égard de la candidate afin d’influencer les français via les réseaux.

On le sait, l’information circulant sur les réseaux sociaux est virale. Si le martelage peut porter ses fruits, le risque se trouve également dans les diffusions via les réseaux sociaux de fausses informations. Le fameux média russe Sputnik avait notamment publié des rumeurs sur la double vie d’Emmanuel Macron,  largement relayées, et ensuite démenties par ses proches. Une fausse information publiée à un instant stratégique d’une campagne peut s’avérer catastrophique, car le démenti arriverait trop tard.

Toutefois, le plus gros risque reste de voir des données personnelles volées et diffusées. C’est ce qu’il s’est passé lors de la campagne de Mme Clinton, qui s’est vue voler plus de 20.000 mails échangés entre cadres du parti démocrate, dévoilés par Wikileaks, et utilisés dans le but de déstabiliser sa campagne. Selon la CIA, cette cyberattaque viendrait de Russie pour aider Donald Trump à gagner la présidentielle. Si cela est avéré, on peut dire que l’opération a réussi.

Par ailleurs, une inquiétude quant à la sécurité des votes a été soulevée.

Aujourd’hui en France, le vote se fait sur bulletin papier donc a priori, aucun risque ne peut exister de ce côté-là. Le seul risque, bien que minime, serait au niveau de la centralisation et du transfert des résultats auprès de la préfecture le soir des élections. Toutefois, il suffirait de recompter les bulletins pour se rendre compte de l’erreur, et cela pourrait être rectifié rapidement.

Pour les français résidant à l’étranger, le vote électronique aux législatives avait été rendu possible pour la première fois en 2012 et s’était déroulé sans incident. Mais dans ce contexte précis, et lié aux menaces que nous venons d’évoquer, ce droit a été annulé pour les prochaines législatives. Ainsi, les français résidant à l’étranger voteront de manière traditionnelle en juin 2017 et non par vote électronique. « Qui aurait pu comprendre qu’en juin prochain, à l’issue de l’élection présidentielle, on laisse s’organiser des élections législatives qui ne soient pas 100% fiables et incontestables? », précise Matthias Fekl, secrétaire d’État chargé du Commerce extérieur, de la Promotion du tourisme et des Français de l’étranger. Cette annulation due au risque de cyberattaque a été dénoncée par plusieurs candidats, dont François Fillon :

Cyberattaques présidentielles
Compte Twitter de François Fillon

A ce jour, l’Agence Nationale pour la Sécurité des Systèmes d’Informations (ANSSI) n’aurait pas détecté d’intrusions ou de tentatives de manipulation dans des opérations électorales, selon David Martinon, ambassadeur pour la cyber diplomatie.

Quelles sont les mesures prises pour répondre aux attaques ?

Côté Républicains, la politique de sécurité informatique semble être prise très au sérieux. Les Républicains ont décidé de renforcer leur système de sécurité. Gérald Darmanin, ancien secrétaire général adjoint du parti indique qu’une politique de mots de passe forts a été mise en place, que les prestataires informatiques sont choisis selon de hauts critères de qualité, que les données ou les documents sensibles ne sont pas transmis par mail. Ces pratiques relativement simples permettent aujourd’hui de parer d’éventuelles attaques.

Si l’ANSSI est rattachée à Matignon et sert aujourd’hui les intérêts de l’Etat, elle recommande toutefois aux différents partis d’adopter de bonnes pratiques en leur transmettant son Guide de l’Hygiène Informatique. « Paru en  janvier  2013  dans  sa  première  version,  le  Guide édité par l’ANSSI s’adresse aux entités publiques ou privées dotées d’une direction des systèmes d’information (DSI) ou de professionnels dont la mission est de veiller à leur sécurité. Il est né du constat que si les mesures qui y sont édictées avaient été appliquées par les entités concernées, la majeure partie des attaques informatiques ayant requis une intervention de l’agence aurait pu être évitée » peut-on lire en introduction.  42 points d’attention y sont listés, dont :

      • La sensibilisation et la formation de ses équipes
      • La politique de mot de passe et de gestion sécurisée des utilisateurs
      • Le chiffrage des données sensibles transmises par Internet
      • L’utilisation des protocoles réseaux sécurisés tels que HTTPS
      • La protection de la messagerie (antivirus, chiffrement TLS, anti-spam, bonne configuration des records DNS publics liés à la messagerie etc.)

Les partis politiques ont donc du retard sur les questions de sécurité et doivent traiter le sujet comme des entreprises privées le feraient. Il n’y aucune raison qu’ils soient épargnés par les hackers, bien au contraire. Si le sujet commence doucement à être pris en compte, un certain manque de réactivité, d’information ou de structure peut être désastreux pour une campagne.

Pourtant, ces problèmes ne sont pas nouveaux, rappelons par exemple que le site de Nicolas Sarkozy avait déjà fait l’objet d’attaques en 2007.

Si les leçons n’ont pas correctement été tirées du passé, c’est aussi parce que les attaques ont depuis très largement augmenté, de plus de 56% entre 2015 et 2016 et ce chiffre ne risque pas de faiblir et la sophistication de ces dernières croit chaque jour un peu plus.

C’est donc également en raison de cette augmentation et de la visibilité des attaques relatives aux partis politiques en temps d’élection que les menaces doivent être prises très sérieusement et les moyens de protection appliqués sur l’ensemble de la chaine.

 

Nameshield au Gala des DSI – Créer le futur par l’innovation numérique

Le Gala des DSI est un évènement leader de la profession, organisé chaque année par Agora Fonctions, accueillant plus de 200 directeurs des systèmes d’information des entreprises innovantes françaises, venus échanger au cours d’un diner-débat.

Nameshield a eu la chance d’être partenaire de cette soirée prestigieuse, alliant rencontres de qualité et contenu à valeur ajoutée. Lors de la soirée, le topic Gala des DSI a été vu 3 400 000 fois sur Twitter et a touché 275 000 personnes uniques. Cette 5ème édition a réuni pendant une table ronde Marie Cheval, DG de Boursorama, Serge Papin, PDG de Système U et Edouard Carle, DG du groupe Babilou.

Ces trois chefs d’entreprises considérées comme faisant partie des plus innovantes, ont pu témoigner de la transformation numérique dans leur secteur d’activité respectif.

Si Edouard Carle considère que le digital permet aujourd’hui une proximité et une meilleure compréhension de l’attente client, Marie Cheval nous met en garde : « le digital radicalise considérablement la stratégie de marques » de l’entreprise. Pour Serge Papin, le digital oblige l’entreprise à devoir repenser son organisation et son management.

L’agilité était au cœur des débats. L’entreprise d’envergure peut parfois être dépassée par l’évolution fulgurante du monde digital. Il est indispensable de pouvoir s’organiser (en terme de ressources, de management), de pouvoir s’informer, innover et surtout se sécuriser en amont. C’est ce que nous rappelle Marie Cheval : « Personne n’est totalement invulnérable, mais les menaces sont internes et externes ». Dans le secteur bancaire plus que jamais, quand on sait qu’en France, un compte sur trois est ouvert en ligne, la vigilance est de rigueur.

Se sécuriser sur le plan juridique via une stratégie de marques (déposer sa marque auprès d’un organisme officiel, déposer son nom de domaine, surveiller les atteintes sur le web, les réseaux sociaux, les places de marché etc) mais aussi sur le plan technique (veiller aux infrastructures, aux certificats SSL, aux accès, etc) sont deux aspects essentiels de la transformation digitale et numérique en 2017.

Nous vous invitons à découvrir plus de photos de l’événement sur le compte twitter de Nameshield.

Nameshield au Gala des DSI – Créer le futur par l’innovation numérique
Gala DSI 2017

Un parc de 3600 noms de domaine made in Trump

En 20 ans, le Président américain aurait déposé un total de 3643 noms de domaine, selon une enquête menée par CNN. Un parc de noms de domaine colossal montrant que Donald Trump, soucieux de la préservation de son image en ligne, a mené une politique de gestion de ses actifs immatériels relativement proactive et ce bien avant semble-t-il la naissance de ses ambitions présidentielles.

Dès 1997, Donal Trump entame la protection de son identité numérique avec l’enregistrement de l’évident DonaldjTrump.com, suivront de nombreux dépôts relatifs à son patronyme ou à ses activités professionnelles tels que TrumpOrganization.com ou trump.com.

L’homme d’affaire a également au fil des années déposé les noms de domaine composés de termes négatifs associés à son nom qui auraient pû lui desservir si enregistrés par des opposants ou adversaires, tels que trumpfraud.com (Trump fraudeur), trumpscam.com (Trump escroquerie), ou encore donaldtrumpSucks.com (Donald Trump Craint.com), déposé par un domainer et racheté par le businessman dès sa retombée dans le domaine public en 2014.  Amusant, l’habitué des dépôts de plaintes avait également acquis ImBeingSuedByTheDonald.com (Le Donald Me Poursuit En Justice).

Dès ses débuts en politique, le Président a enrichi son portefeuille de nombreux noms qui auraient pu servir à créer des sites en sa défaveur, tels que VoteAgainstTrump.com (Votez contre Trump), TrumpMustGo.com (Trump doit partir), and NoMoreTrump.com (Trump, ça suffit). Notons d’ailleurs que le dépôt du slogan de campagne de Trump, MakeAmericaGreatAgain.vote et MakeAmericaGreatAgain.us, avaient été déposés dès 2015, deux mois avant l’annonce officielle de sa candidature. Il semblerait que l’on puisse parfois lire dans les whois des noms de domaine comme dans un livre ouvert.

Extensions pays, alphabet et code ISO : et si le Kazakhstan changeait d’alphabet, que deviendrait le .KZ ?

La création des extensions dites « pays » s’est faite selon la norme ISO3166-2, donnant un identifiant à deux caractères à un pays donné (par exemple, FR pour la France ou encore PE pour le Pérou). Cette norme étant basée sur l’alphabet latin, les pays utilisant un autre alphabet ont alors dû se contenter du fameux code ISO en caractère latin. Ce fut le cas entre autres de la Chine avec le CN, de la Russie avec le RU, etc.

Au sein des anciennes républiques socialistes soviétiques, le Kazakhstan, représenté par le code ISO KZ, utilise depuis de nombreuses années l’alphabet cyrillique à 42 caractères. Cependant, le pays souhaite désormais utiliser l’alphabet latin, ce qui remettra en cause l’écriture même du nom du pays.
https://www.wsj.com/articles/a-quarrel-over-the-letter-k-breaks-out-in-an-unfortunate-place-kazakhstan-1486744336

Ainsi, la compagnie aérienne kazak s’écrit en caractères latins et se nomme Qazaq Air. De facto, si le nom du pays change selon l’alphabet latin, passant de KAZAKHSTAN à QAZAQSTAN, on peut se poser la question du ccTLD associé : les noms de domaine kazakhs utiliseront-ils le suffixe QZ en lieu et place de KZ ? Le code ISO associé évoluera-t-il et l’extension pays avec lui ? La question reste entière.

Historiquement, les mouvements géopolitiques ont eu des incidences sur les ccTLDs, ces codes n’étant que les reflets des territoires existants. Cependant, la règle d’application de la norme ISO 3166-2 n’a pas toujours été parfaitement respectée : le Royaume-Uni utilise par exemple le .UK et non .GB, l’Australie .AU et non .OZ et la chute de l’Union Soviétique n’a pas donné lieu à l’extinction du .SU.

Car en effet, l’économie liée à la vente de noms de domaine en fonction d’une homophonie intéressante reste lucrative lorsque l’on sait que l’enregistrement de .ME représente 2 % du PIB du Montenegro et que les îles de Tuvalu ont émis une série de timbre lors de la signature du partenariat avec Dot TV pour la gestion du .TV
Cependant, même si l’on imagine le lucratif marché que le voisin Turkmène génère avec son .TM (homophonie avec TradeMark), il est moins aisé d’imaginer le business occasionné par .KZ.

Quand les fake news font l’actualité : de l’importance de bien gérer son identité Internet

Fake news

La récente affaire d’usurpation d’identité dont a été victime une société du CAC 40 dernièrement montre les failles de la confiance sur Internet. Dans un monde journalistique en péril, la recherche de la viralité, donc du clic, donc du profit, est constante. Quitte à ne pas vérifier ses sources. Comprenons-nous, la majorité des journalistes n’est pas tombée dans le panneau. La minorité, elle, a communiqué sur les pertes de la société en question, fakes news, entraînant la circonspection de ses actionnaires, avec le résultat que l’on connaît.

Le temps du journal tiré à la rotative à 6h du matin semble désormais dépassé. Le monde de l’information asynchrone est révolu, l’alerte de l’information se synchronise avec l’information et celui qui dégaine le premier la nouvelle remporte l’audience. Dans notre cas, essayons de faciliter le regard du journaliste et au-delà du commun des mortels : comment faire en sorte que son identité soit effective ?

Prenons l’exemple de Bloomberg qui a souffert d’une affaire similaire. Regardons comment l’entreprise communique : WWW.BLOOMBERG.COM est le vaisseau numérique amiral : tout est lié. Excepté lorsque l’on regarde les adresses mail proposées dans la rubrique contact : inquiry1@bloomberg.net. Le service communication est donc joignable via cette adresse ! Si l’on ne tient pas rigueur de ‘inquiry1’ , pourquoi Bloomberg communique en .NET et .COM ?

En d’autres termes, une cohérence numérique est plus que jamais importante et surtout nécessaire : si une entreprise ne communique que via une adresse physique unique (quartier général), pourquoi ne le fait-elle pas de manière identique au niveau numérique ? A l’inverse, quand différentes entités locales existent, la cohérence extension/pays doit également être de mise.

L’absence de stratégie numérique peut entraîner une confusion de l’internaute, qu’il soit un particulier ou un professionnel : si demain vous recevez un courriel @bloomberg.cx, vous pourrez être amenés à penser qu’il s’agit probablement de Bloomberg puisqu’ils communiquent en .COM et .NET . C’est pourquoi il est primordial de mettre en place des stratégies numériques cohérentes et claires.

Transition vers le HTTPS : la France est en retard… et le réveil pourrait être difficile

Le JDN vient de publier un article très intéressant sur le décollage du HTTPS sur le top 100 des sites les plus visités en France. Il en ressort que 44/100 sont maintenant en HTTPS par défaut (dont 12 dans le top 20) et 54% des pages vues sont en HTTPS. C’est une bonne nouvelle pour les internautes français MAIS…

…on peut surtout remercier les acteurs américains. Sur le top 20, le seul acteur français aujourd’hui en HTTPS par défaut est Leboncoin.fr ! Si on pousse jusqu’au top 50, on ne trouve que quatre acteurs français supplémentaires : La Poste, Le Crédit Agricole, Mappy et Service Public.fr. Sur le top 100, 44 acteurs sont en HTTPS par défaut, dont seulement 15 acteurs français. Du côté du e-commerce c’est encore pire avec 33 acteurs français dans le top 40 mais seulement 7 en HTTPS par défaut.

La France est à la traine… et doit réagir

Google et Firefox, les deux fers de lance de la généralisation du HTTPS, continuent à annoncer des mesures toujours plus fermes en vue de l’adoption généralisée du HTTPS par défaut :

  • bonus sur le référencement naturel,
  • « malus » au cours de la navigation avec de plus en plus d’alertes,
  • limitation de fonctionnalités au seul HTTPS : HTTP2, géolocalisation, utilisation de la caméra, auto-remplissage des formulaires…
  • dépréciation des versions trop anciennes : SHA1 remplacé par SHA256

Chrome 56 arrive en Janvier 2017 avec une première série d’alertes dans les barres d’adresse pour les pages de connexion et contenant des champs de carte de crédit… et annonce déjà la couleur pour la suite avec la volonté clairement affichée d’une alerte pour tous les sites en HTTP (voir visuels ci-dessous).


https-2

Firefox n’est pas en reste et annonce la mise en place d’une alerte sur les saisies de mot de passe

treatment HTTPS firefox

Et d’autres acteurs majeurs comme WordPress, Apple ou Microsoft suivent le mouvement.

Pourtant le HTTPS peine à s’imposer pour la plupart des acteurs français du Web. Pourquoi ?

La transition d’un site Web en HTTPS par défaut n’est pas une mince affaire et deux freins importants existent encore : le risque d’un déclassement en termes de SEO si la transition est mal opérée, et certaines régies publicitaires qui restent en sources HTTP. Le trafic et les revenus publicitaires, le nerf de la guerre pour beaucoup de sites web.

Et donc, on attend ! On attend le dernier moment en espérant que Google et Firefox reculent ? C’est peu probable et le calendrier se resserre. Même si Google n’a pas encore annoncé de date pour la mise en place des alertes sur le HTTP, il y a fort à parier qu’ils le feront le plus tôt possible, et les conséquences risquent d’être désastreuses s’il faut agir dans l’urgence.

Nous recommandons d’étudier au plus tôt un calendrier de transition vers le HTTPS par défaut, projet à mener en étroite collaboration avec les équipes web et référencement, pour tous les sites vitrine dans un premier temps et pour l’ensemble des activités web dans un second.

Les équipes de Nameshield pourront vous accompagner en termes de conseil pour la mise en place et la gestion des certificats qui permettront d’afficher le HTTPS.

L’indispensable nom de domaine souvent grand oublié des campagnes politiques !

Si les campagnes politiques font rage sur les réseaux sociaux, via les usernames officiels, depuis maintenant plusieurs années, leurs petits aînés, les noms de domaine, sont quant à eux régulièrement oubliés des campagnes digitales !

Premier candidat officiellement déclaré pour la primaire de la droite dès 2013, François Fillon s’est aperçu que le nom de domaine fillon2017.fr avait déjà été réservé par un tiers. Et c’est 1000 euros que l’ancien ministre a dû investir dans le rachat du fameux nom de domaine.

Il faut en effet savoir que de nombreuses extensions, telles que le .FR et le .COM sont ouvertes et n’imposent d’autre règle d’enregistrement que celle du « premier arrivé, premier servi ». La protection de l’identité en ligne devrait avoir dans ces conditions un caractère prioritaire, à minima à titre défensif. Pourtant cette règle de stratégie digitale, bien connue des entreprises, semble désespérément échapper aux plans média des campagnes politiques.

Les exemples sont en effet pléthore et François Fillon est loin d’être l’unique victime de ce type de fraude, appelé cybersquatting (ou cybersquattage). Défini comme une pratique consistant à enregistrer un nom de domaine qui ne vous revient pas de droit, correspondant par exemple à une marque (ou une personnalité, on parle alors de celebritysquatting), le cybersquatting vise la plupart du temps à revendre le nom à l’ayant droit, à altérer sa visibilité, nuire à la réputation ou encore simplement de profiter de son trafic.

Rappelons-nous en effet que le nom macron2017.fr a été acheté 24h après la nomination du jeune homme au ministère de l’Économie et des Finances par un cybersquatteur quelque peu visionnaire.

Quelques heures après la désignation de François Hollande comme candidat du PS pour les présidentielles de 2012, un cybersquatteur farceur réservait le nom hollande2012.fr et le redirigeait vers le site de… l’UMP.

Dans la même veine, le nom sarkozy2017.com renvoyait à un site recensant les déboires de l’ancien Président français.

Si une leçon est bien à retenir de nos candidats, tous partis confondus, c’est que seule l’utilisation d’une bonne stratégie de nommage, notamment sur des extensions ouvertes ou à risque, permet une bonne défense.

Sur ce sujet, il vaut mieux être offensif que défensif : récupérer un nom de domaine prend au minimum trois semaines, expliquant pourquoi les noms sont le plus souvent rachetés dans l’urgence.

HTTPS et SSL : Google continue son offensive

https-chromeChrome 53 est arrivé le 31 août et avec lui Google continue de militer pour un internet plus sûr.

Avec son navigateur Chrome, Google souligne de plus en plus clairement quand un site ne dispose pas de httpS dès sa page d’accueil. Et les versions à venir vont continuer dans ce sens jusqu’à barrer purement et simplement le http d’une croix rouge, ce qui sera rédhibitoire pour l’image de marque des sites web, donc des marques notoires.

Http Cdiscount
Site en http
Https Amazon
Site en httpS par défaut
Https Nameshield
Site en httpS EV (Extended Validation)

Firefox a d’ores et déjà annoncé une mesure similaire. Ajoutez à cela le httpS comme facteur supplémentaire de référencement naturel et la prise en compte du httpS pour les pages de saisie de données personnelles dans les résultats de Google shopping, si vous ne l’avez pas encore envisagé, il est temps de préparer la migration de votre site web vers plus de sécurité.

Pourquoi passer maintenant au HTTPS ?

  •  Cela va devenir incontournable ;
  • C’est bénéfique pour votre image en ligne, notamment avec Extended Validation ;
  • La transition d’un site web vers le httpS se prépare et il vaut mieux se pencher dessus maintenant que dans l’urgence demain.

A quoi ressemblera la barre de navigation en Janvier 2017 ?

Pour les pages des sites HTTP proposant la saisie de mots de passe ou de cartes de crédit, le petit picto d’avertissement « i » sera agrémenté d’un texte pour le moins explicite : « Not secure » !

Ce que Chrome souhaite afficher à terme

Pour tous les sites, le but ultime de Google est d’afficher le libellé « Not secure » pour toutes les pages des site HTTP.

Note secure

Source : https://security.googleblog.com/2016/09/moving-towards-more-secure-web.html

Les équipes de Nameshield vous accompagnent dans le choix des certificats SSL les plus adaptés pour obtenir le HTTPS, contactez dès maintenant votre commercial ou votre chargé de clientèle pour aborder la question.

Google AdWords et l’achat de mots clés concurrents

licence CC BY 2.0 – www.tyseo.net
Titre : Adwords – Auteur : Christophe Benoit – Photo : licence CC BY 2.0 – www.tyseo.net (Cliquer sur la photo pour activer le lien)

Quel est la définition de “ Adwords”

L’Adwords est défini comme étant « un service de référencement payant [qui] permet à tout opérateur économique, moyennant la sélection d’un ou de plusieurs mots clés, de faire apparaître, en cas de concordance entre ce ou ces mots et celui ou ceux contenus dans la requête adressée par un internaute au moteur de recherche, un lien promotionnel vers son site ».

Concrètement qu’est ce qui apparait lors d’une recherche ?

Les résultats retournés par exemple avec une recherche Google sont de 2 natures :

screen_adwords_chanel– Les liens sponsorisés (Adwords) : le client achète des mots clés et son annonce (lien vers son site) est affichée en priorité si les mots clés recherchés correspondent à ceux qu’il a achetés.

– Le référencement naturel : ce référencement se fait en fonction du contenu des sites référencés (les critères sont définis par Google)

Dans la page de résultat Google, les 2 types de résultats sont affichés différemment :

  • Les liens sponsorisés (Adwords) sont affichés en début de liste avec le flag « Annonce ».
  • Les résultats naturels sont ensuite affichés en fonction de leur référencement par rapport aux mots clés saisis.

Les critères pris en compte par Google pour afficher les résultats naturels sont les suivants :

  • Termes recherchés
  • Pays du moteur intérrogé (Google.fr / Google.jp, …)
  • Langue de l’internaute
  • Type de terminal (pc, mobile)

Les critères pris en compte par Google pour afficher les résultats sponsorisés sont les même que ci dessus avec en plus la prise compte du lieu d’origine de la recherche.

Les Adwords peuvent être achetés sur une zone géographique déterminée (un pays, une région, une ville, …). Google utilise donc l’adresse ip du terminal qui effectue la requête pour déterminer quels résultats retourner.

Le service Adwords de Google

Le moteur de recherche le plus visé par des pratiques déviantes est Google qui a fait de cette pratique un service payant et automatisé, et qui permet ainsi la sélection de mots clés et la création d’annonces.  Le chiffre d’affaires de Google Adwords est estime au dernier trimestre de l’année 2014, à 10.50 Mds$ pour un chiffre d’affaire totale de 16,96 Mds$. On comprend mieux l’importance de ce service …

Afin d’éviter a minima les abus, il est essentiel que l’annonce qui apparait après avoir tapé le mot clé permette à l’internaute normalement informé et raisonnablement attentif de savoir si les produits ou services visés par l’annonce proviennent du titulaire de la marque, d’une entreprise économiquement liée à celui ci, ou alors d’un tiers.

Car bien à l’annonceur de choisir un ou plusieurs mots clés qui lui permettront d’afficher son annonce.  Là réside toute la subtilité de la définition des Adwords.

En l’espèce, Google bénéficie du statut d’hébergeur et donc d’une responsabilité limitée !

En effet, afin de déterminer la responsabilité du moteur de recherche, le juge doit porter son attention sur l’automatisation. Le juge doit déterminer si le rôle de l’opérateur est neutre ou non. S’il n’y a pas de contrôle des données stockées, la responsabilité du moteur de recherche ne peut être retenue.

Il a été jugé que Google n’était pas un contrefacteur en mettant à disposition des mots clés reproduisant des signes distinctifs (marque enregistrée notamment), en les stockant et en affichant les annonces en fonction des mots clés.  Selon la Cour, Google ne fait pas l’usage de ces mots clés « dans le cadre de sa propre communication commerciale ».

C’est à dire que Google met à disposition ces mots clés mais ne les utilisent pas pour sa propre publicité.

Des affaires en justice liées aux Adwords

Avec les programmes de liens sponsorisés sur les moteurs de recherche, il est très facile d’acheter les noms de marque de ses concurrents en tant que mot-clé. Pour des raisons éthiques, ce n’est pas conseillé, mais certaines sociétés, ne s’en privent pas.

Les abus comme le détournement de trafic, de domaine, la duplication de contenu, les contrefaçons de produits ou de service sont nombreux sur le net mais la plus grande pratique concernant les Adwords reste le détournement de marque.

Le détournement peut prendre deux formes : un annonceur achète le nom d’une marque en tant que mot-clé dans le but d’afficher son annonce lorsque les internautes font des recherches sur cette marque et/ou un annonceur place le nom de la marque dans le texte de son annonce qui apparaît dans la page de résultats.

Ces détournements ont entrainé de nombreuses affaires célèbres ou la définition d’un Adwords a été rappelée comme :

Ces affaires révèlent toute l’importance de la présentation de l’annonce afin que cette dernière ne reproduise en aucun cas la marque enregistrée par un tiers dans l’annonce et ne trompe le consommateur moyen sur les fonctions essentielles de la marque (fonction d’origine, fonction de publicité, fonction d’investissement, et renommée de la marque).

Face à ces menaces quelles précautions doivent être prises ?

Il est essentiel que votre marque soit déposée, avec une preuve de l’enregistrement, pour pouvoir adresser une plainte aux moteurs de recherche ou mettre en place une procédure juridique.

Tout est affaire de réactivité aussi bien dans la détection des menaces ou des pratiques frauduleuses comme dans les décisions à prendre.

Aussi est-il primordial de choisir et mettre en place des surveillances adaptés (surveillance de dépôts de marques et noms de domaine, surveillance des résultats naturels et sponsorisés, surveillance de contenu (sites, réseaux sociaux, programme d’affiliation.) .

Ces surveillances vous permettront d’identifier rapidement les menaces à l’encontre de votre marque et de réagir avec des procédures proportionnées

Enfin, concernant les actions immédiates possibles, sachez que vous pouvez demander la suppression d’Adwords reprenant à l’identique ou à l’approchant une marque enregistrée.

Bernard Mauriange,
Chef de Produit,
Nameshield Group

Les nouveaux challenges des titulaires de .marque

decouverte-des-amériques

D’ici deux ans, au plus tard, les titulaires de marque pourront déposer une nouvelle fois leur candidature pour détenir un .marque dans leurs noms de domaine et sécuriser davantage leur périmètre de protection sur internet. Revenons à ce qui a motivé les titulaires de marque pour bénéficier de leur propre extension.

Aujourd’hui, une société détient plusieurs actifs immatériels : des marques, des brevets, des dessins et modèles, des noms de domaine, etc. Depuis 2012, peut s’ajouter à tous ces actifs une extension de premier niveau (TLD – Top Level Domain), aussi appelé .marque  (exemple : www.nic.panerai). L’ICANN (Internet Corporation for Assigned Names and Numbers) a créé l’engouement des marques puisque 643 candidatures en .marque ont été remises sur près de 1500 candidatures pour des nouvelles extensions (génériques et .marque). À ce jour, 152[1] .marque sont déjà délégués, c’est-à-dire que le titulaire d’une marque peut faire l’utilisation de son .marque, par exemple : www.mabanque.bnpparibas en lieu et place de www.bnpparibas.net.

Pour être propriétaire d’une nouvelle extension, et après s’être acquitté de 185 000 dollars auprès de l’ICANN, le candidat doit faire face à différents challenges : défendre sa marque et sa réputation lors de la candidature des titulaires de .marque (I), mais aussi développer des processus innovants en cohérence avec la stratégie de la marque (II).

I. La défense de son .marque en amont de son utilisation

A. La contractualisation de la marque avec l’ICANN

Lorsqu’un titulaire de marque souhaite candidater pour détenir sa propre extension, il doit signer un accord de registre[2] avec l’ICANN. Cet accord est unique pour tous les déposants d’une nouvelle extension et très rares sont les cas où des clauses sont modifiées. La juridiction compétente lors d’un litige avec l’ICANN concernant l’accord de Registre est le tribunal du comté de Los Angeles, qui statue sous la forme d’un arbitrage. Exceptionnellement, l’arbitrage a lieu en Suisse (Genève) dans l’hypothèse où la nouvelle extension est souhaitée par une organisation intergouvernementale, une entité gouvernementale ou bien encore dans d’autres circonstances spéciales[3].

Dans le cas des .marque, le titulaire d’une marque pourra également se soumettre à la « spécification 13[4] ». S’il présente les conditions énumérées dans la spécification[5], le candidat peut bénéficier de plusieurs avantages par exemple :. « fermer son TLD » (tout le monde ne pourra pas enregistrer un nom de domaine en .marque), profiter de délais plus favorables, choisir ses bureaux d’enregistrement. Pour bénéficier d’un modèle financier, certaines sociétés estiment que le métier de registre[6] est un métier à part entière et ont de ce fait décidé de créer une entité juridique spécialement à cet effet..

B. Les moyens de défense pour les titulaires de marque à l’égard des .marque et nouvelles extensions

Dans le cadre de ces nouvelles extensions, les déposants n’ont pas eu de visibilité quant aux dépôts de marques tierces, voire concurrentes, et ce, jusqu’à la publication des candidatures. Plusieurs demandeurs se sont retrouvés à candidater pour la même extension[7]. Ces schémas ont parfois eu pour finalité un conflit entre deux marques intéressées par le même .marque.

Un exemple illustre parfaitement cette problématique : le .merck. Dans les années 30, la société pharmaceutique Merck KGAa a consenti un accord de coexistence avec le titulaire de la marque pharmaceutique Merck, dont le titulaire est Merck Inc, en définissant une territorialité stricte : Merck KGAa utilise sa marque dans le monde, sauf aux États-Unis et au Canada où  Merck Inc  est exploité.. La société Merck KGAa a découvert que la société Merck Inc. a déposé un dossier de candidature pour un .merck. La société Merck KGAa a déposé une plainte (LRO : Legal rights Objections) à l’encontre de la candidature de Merck Inc. L’action s’est soldée par un échec. Le jury de l’OMPI[8] n’a pas considéré que la société Merck Inc tirait indument profit du caractère distinctif ou de la renommée de la marque ; n’avait pas réduit, de façon injustifiée, le caractère distinctif ou de la renommée de la marque ; ou n’avait pas créé de risque de confusion entre le gTLD contesté et la marque Merck KGAa. À ce jour, Merck KGAa est titulaire de l’extension .emerck, tandis que Merck Inc est titulaire du .merck. Il est intéressant de noter que les noms de domaine et les extensions de premier niveau ne connaissent pas de limite de territorialité. Quid dès lors de l’application de l’accord de coexistence ?

Outre la LRO, un tiers, estimant qu’une candidature viole ses droits par le dépôt de candidature d’un .marque, peut avoir recours à d’autres types d’objections[9] :

  • le « string confusion », lorsque le TLD est similaire à un TLD existant ou des TLD délégués similaires produisant une confusion chez l’utilisateur
  • le « limited public interest », lorsque le dépôt va à l’encontre des bonnes mœurs et/ou de l’ordre public.

Par ailleurs, faut-il préciser que le public concerné par l’extension peut également s’opposer à une candidature. Il s’agit de la « community objections ».

Il existe également la procédure URS[10] (Uniform Rapid Suspension) et la procédure UDRP[11] (Uniform Dispute domain name Resolution Policy). La procédure URS a pour conséquence de bloquer le nom de domaine pour une durée d’un an. Cette procédure concerne les nouvelles extensions et le .pw. Elle est, notamment, plus rapide (environ vingt jours) et moins coûteuse. La procédure UDRP permet le transfert ou la radiation du nom de domaine. Le délai de cette procédure équivaut à une soixantaine de jours. Toutefois, cette procédure n’existe pas pour toutes les extensions[12]. Trois conditions cumulatives doivent être remplies : le nom de domaine doit être identique ou similaire à la marque antérieure, le titulaire du nom de domaine ne doit pas avoir de droit ou d’intérêt légitime sur le nom et le nom de domaine doit avoir été réservé et être utilisé de mauvaise foi.

Outre la défense de la marque, l’ICANN protège également les territoires nationaux face aux nouvelles pratiques d’Internet.

C. Les .marques et les territoires nationaux

Le GAC[13] (Governmental Advisory Committee) a comme rôle principal de fournir des conseils à l’ICANN sur les questions de politiques publiques, en particulier lorsqu’il existe une interaction entre les activités ou les politiques de l’ICANN et les lois nationales ou les accords nationaux. L’utilisation du pays et de la marque (exemple : luxembourg.cartier) doit faire l’objet d’un accord de la part du pays ou être dans la liste des pays autorisant à utiliser le nom du pays avec une marque[14]. Cependant, il convient d’indiquer que les noms de pays au deuxième niveau correspondent uniquement aux langues des Nations Unies. Par exemple, « the netherlands » est protégé par le contrat de Registre (spécification 5) alors que le nom de ce pays dans la langue du pays « neerderlands » n’est pas protégé..

II. La mise en œuvre du .marque au sein de la stratégie de l’entreprise

Malgré un nombre important de contrats et de restrictions, parfois imposées par l’ICANN, les titulaires de marques voient le bénéfice qu’ils pourraient retirer d’être également titulaire d’une nouvelle extension .marque. en imaginant de nouvelles pratiques innovantes sur Internet.

A. Le développement stratégique et financier de la marque

L’aspect défensif doit tout d’abord être évoqué. Comme nous l’avons précisé auparavant, les titulaires de marques n’avaient pas connaissance des .marque qui étaient déposés. Prenons l’exemple des marques Mont-Blanc. Il est parfaitement envisageable que le titulaire de la marque désignant, notamment, des stylos dépose un dossier de candidature, lorsque celui de la marque désignant des desserts ne le fait pas. Dans une telle hypothèse, la marque de stylo se retrouverait dans une situation équivalente à un monopole d’exploitation, permettant à son titulaire de négocier par voie contractuelle l’utilisation de son extension.

Les nouvelles extensions apparaissent donc comme une opportunité de développer de nouveaux modèles financiers et contractuels. L’occasion leur est offerte de créer des contrats s’apparentant à des « licences »[15] de noms de domaine. Dans le cadre d’un tel contrat, se pose par exemple la question de la fin de celui-ci.Qu’advient-il en effet du « business » d’un licencié non exclusif, connu sous un nom de domaine en .marque, qui n’est plus autorisé à utilisé cette extension par le titulaire ? Dans ces cas-là, la plus sage des décisions est de maintenir un site principal sans l’utilisation du .marque pour présenter son business et utiliser le .marque pour présenter les gammes de produits de cette marque. Ces problématiques pourront aussi avoir lieu lors de la vente d’une filiale à une société tierce si celle-ci avait développé son business sous un .marque de la société mère.

Le .marque permet également au titulaire de contrôler son réseau de distribution, que ce soit des licenciés, des franchisés ou bien encore de simples revendeurs. Puisque la marque est son propre Registre et détermine les conditions d’enregistrement de son .marque, cela lui permet d’avoir une stratégie de nommage claire et précise pour tous les acteurs proches de la marque. Dans quelques années, peut être que le titulaire de la marque n’aura plus à s’interroger sur l’opportunité d’enregistrer l’extension .net ; .org ; .info ; .shoes ; .lu etc. Elle aura la possibilité d’enregistrer ses noms de domaine avec sa propre extension : shoes.louboutin ; information.louboutin ; network.louboutin ; Luxembourg.louboutin, etc. La stratégie sera plus fluide, car la marque n’aura sans doute plus besoin de s’éparpiller et d’enregistrer une multitude d’extensions.

En sus des avantages stratégiques et juridiques que nous venons d’évoquer, les nouvelles extensions présentent des avantages indéniables en terme de sécurité.

B. L’atout sécurité du .marque

D’un point de vue technique, le .marque permet de sécuriser la communication et les échanges.  Il est ainsi possible de créer un Intranet d’une société sous un .marque. En outre, en tant que Registre, le titulaire de la marque dispose de ses données, contrairement aux extensions génériques ou ccTLDs qui dépendent d’un Registre tiers[16]

Le .marque impacte également la sécurité des internautes. Un produit pourrait se voir attribuer un numéro de série grâce à son nom de domaine et assurer ainsi sa traçabilité[17]. Le consommateur pourrait alors être assuré de l’authenticité avant achat.

Le .marque évite également le typosquatting[18] que nous connaissons sur les autres extensions aujourd’hui. En l’espèce, le cybersquatteur profite des fautes de frappes que l’internaute peut faire en recherchant une marque pour enregistrer un nom de domaine correspondant à la marque avec un faute de frappe. Avec le .marque, l’internaute sera certain d’être sur le site officiel de la marque puisque seule la marque décide de qui peut enregistrer son extension. Le .marque est enregistré dans une seule et correcte orthographe et ne pourra pas être typosquatté.

Les réseaux sociaux sont de plus en plus utilisés par les titulaires de marques pour communiquer avec le public. Dès lors, nous pourrions voir apparaitre « www.facebook.chanel ». Encore faudra-t-il trouver un terrain d’entente avec les réseaux sociaux.  L’internaute naviguera ainsi en toute sécurité et aura la certitude d’être sur la page Facebook officielle de la marque. Le .marque ne pouvant être enregistré que par le titulaire de la marque, les affiliés ou licenciés de la marque, il n’y a donc pas de possibilité pour un tiers d’enregistrer  sans autorisation un nom de domaine avec un .marque.

Même s’il est encore trop tôt pour constater l’ensemble des conséquences des .marques sur nos habitudes, peu de temps sera nécessaire pour que d’autres titulaires de marques soient séduits à l’idée de participer au second round de candidature qui se profile à l’horizon 2018. Des titulaires de marques comme Twitter[19] ont déjà mentionné leur envie d’y participer et d’apporter une touche de nouveauté à Internet.

Source : http://www.association-afpi.org/presse/index.php/RFPI/article/view/29

[1]https://newgtlds.icann.org/en/program-status/sunrise-claims-periods

[2]https://www.icann.org/resources/pages/registries/registries-agreements-en; article 5.2

[3]https://www.icann.org/resources/pages/registries/registries-agreements-en; article 5.2, texte alternatif

[4] https://newgtlds.icann.org/en/applicants/agb/base-agreement-contracting/specification-13-applications

[5]https://newgtlds.icann.org/en/applicants/agb/base-agreement-contracting/specification-13-applications le .marque doit être identique à une marque verbale enregistrée et valide sous la loi applicable et ; seul le Registre, ses affiliés ou ses licenciés peuvent être titulaire du .marque et contrôler les Domain Name Server et ; le .marque ne doit pas être générique et ; le Registre doit transmettre à l’ICANN une copie du certificat de marque.

[6] Le Registre est la société choisie par l’ICANN et bénéficiaire de la gestion d’une extension (exemple : le Registre du .be est DNS Belgium)

[7] On dénombre par exemple trois candidatures pour le .cars.

[8] Merck KGaA v. Merck Registry Holdings, Inc., 6 septembre 2013, WIPO (Case NO. LRO2013-009)

[9] https://newgtlds.icann.org/en/program-status/odr

[10] https://newgtlds.icann.org/en/applicants/urs

[11]https://www.icann.org/resources/pages/udrp-2012-02-25-fr

[12] S’agissant de l’extension .lu, il n’existe pas de procédure alternative de règlement des litiges. Le rachat peut être une des solutions, tout en étant prudent pour éviter d’être cybersquatté une seconde fois ; soit une décision de justice en faveur du titulaire de la marque peut ordonner de transférer le nom de domaine litigieux.

[13]https://gacweb.icann.org/display/gacweb/Governmental+Advisory+Committee

[14]https://gacweb.icann.org/display/gacweb/Country+and+Territory+Names+as+second-level+domains+in+new+gTLDs+requirements+for+notification+list

[15] Ici, l’utilisation du terme licence relève d’une facilité de langage et ne doit pas être pris dans son sens habituel. Faut-il rappeler que le contrat de licence s’apparente à un louage de chose impliquant un droit de propriété intellectuelle alors que le droit sur le nom de domaine n’en est pas un.

[16] Exemple : AFNIC est le Registre du .fr ; VERISIGN est celui du .com

[17] Il serait possible de s’assurer de la provenance du produit grâce à un nom de domaine associé à un numéro de série suivi de l’extension en .marque (exemple : modèleduproduit48392.hermes).

[18] Exemple: Au lieu de taper « Hermes.com » dans sa barre de recherche, l’internaute va taper « hermmes.com ».

[19] http://www.trademarksandbrandsonline.com/news/twitter-to-seek-gtlds-in-second-round-4515