OVH Cloud OVH Cloud

Manipulation en-tête HTTP (Referer) : legale ?

32 réponses
Avatar
David JOURAND
Bonjour,

Mon site est régulièrement "visité" avec comme referant (referer)
l'adresse d'un Splog (Blog de spam) ne référençant pas mon site, bien
évidemment... En regardant les logs, j'ai pu remonter jusqu'à la
société qui se connecte en manipulant le champ referee de la requete
HTTP. Il s'agit d'une société française.
J'ai signalé à l'hébergeur du splog sa présence, mais celui-ci n'a
pour l'instant rien fait...

Savez-vous si la manipulation des en-tête HTTP (referer par exemple) est
légale ?

De même la pratique consistant à envoyer des faux trackbacks et des faux
commentaires est-elle légale ?

Que peut-on faire, à part signaler l'adresse du splog à des services
comme splogreporter ou splogspot ?


--
David Jourand

10 réponses

1 2 3 4
Avatar
Xavier Roche
JustMe a écrit :
Un referrer contient un nom de machine, donc une IP qui est considérée
par la CNIL comme une information nominative



Oui mais non. Le champ "Referer" contient l'URL de départ, et n'a rien à
voir avec la machine du client. Une IP est nominative dans le sens de la
loi parce qu'elle permet de remonter à un client, dans le cas où c'est
une IP dynamique associée à une date par exemple. Pour un serveur, il
n'y a que peu de chances d'avoir une personne physique unique derrière
(et de toute manière, je doute fort que la CNIL irait jusqu'à une
interprétation aussi stricte)
Avatar
patpro ~ Patrick Proniewski
In article <e8ajoe$lhs$,
Xavier Roche wrote:

JustMe a écrit :
> Un referrer contient un nom de machine, donc une IP qui est considérée
> par la CNIL comme une information nominative

Oui mais non. Le champ "Referer" contient l'URL de départ, et n'a rien à
voir avec la machine du client. Une IP est nominative dans le sens de la
loi parce qu'elle permet de remonter à un client, dans le cas où c'est
une IP dynamique associée à une date par exemple. Pour un serveur, il
n'y a que peu de chances d'avoir une personne physique unique derrière
(et de toute manière, je doute fort que la CNIL irait jusqu'à une
interprétation aussi stricte)



ca ne change rien, le referer peut contenir n'importe quoi. Donc il PEUT
contenir des données nominatives.


patpro

--
http://www.patpro.net/
Avatar
JustMe
Xavier Roche a écrit
JustMe a écrit :
Un referrer contient un nom de machine, donc une IP qui est considérée
par la CNIL comme une information nominative



Oui mais non. Le champ "Referer" contient l'URL de départ, et n'a rien à
voir avec la machine du client.



Jamais dit ca


Une IP est nominative dans le sens de la
loi parce qu'elle permet de remonter à un client, dans le cas où c'est
une IP dynamique associée à une date par exemple.



Ou une IP fixe

Pour un serveur, il
n'y a que peu de chances d'avoir une personne physique unique derrière
(et de toute manière, je doute fort que la CNIL irait jusqu'à une
interprétation aussi stricte)



Il y a peut etre peu de chances mais il y a quand meme des chances...
Avatar
Pascal Hambourg
JustMe a écrit :
David JOURAND a écrit

Si votre question est : "l'URL référante peut-elle contenir des
informations nominatives ?", la réponse est non.



Bien sur que si

Un referrer contient un nom de machine, donc une IP qui est considérée
par la CNIL comme une information nominative



En fait je pensais plutôt à un lien cliqué depuis une page web dont
l'accès nécessite une authentification (webmail, forum...) et dont l'URL
contiendrait l'identifiant.
Avatar
David JOURAND
>> > Un referrer contient un nom de machine, donc une IP qui est considérée
> par la CNIL comme une information nominative

Oui mais non. Le champ "Referer" contient l'URL de départ, et n'a rien à
voir avec la machine du client. Une IP est nominative dans le sens de la
loi parce qu'elle permet de remonter à un client, dans le cas où c'est
une IP dynamique associée à une date par exemple. Pour un serveur, il
n'y a que peu de chances d'avoir une personne physique unique derrière
(et de toute manière, je doute fort que la CNIL irait jusqu'à une
interprétation aussi stricte)



ca ne change rien, le referer peut contenir n'importe quoi. Donc il PEUT
contenir des données nominatives.



Je pense qu'il y a confusion sur ce qu'est un en-tête Referer. Cet
en-tête est renseigné par le navigateur de l'internaute lorque ce
dernier clique sur un lien présent sur une page web. La valeur de cet
en-tête est l'URL de la page contenant le lien.
Exemple :
Je suis sur la page
http://www.patpro.net/blog/index.php/2006/06/22/44-changer-de-jvm-sur-macos-x
Cette page contient un lien vers la page http://www.dotclear.net/ Si je
clique sur ce lien le navigateur va charger la page
http://www.dotclear.net/ en spécifiant dans la requête HTTP l'en-tête
Referer avec comme valeur
http://www.patpro.net/blog/index.php/2006/06/22/44-changer-de-jvm-sur-macos-x

Il est par conséquent possible qu'il y ait des informations nominatives.
En pratique cela n'arrive quasiment jamais.

Mais peut importe. Supposons qu'il n'y ait jamais de données nominatives
dans le Referer : les partiques qui consistent à manipuler
l'en-tête Referer, à faire des trackback ou des commentaires
automatiques (i.e. par avec des robots) qui n'ont d'autre but que
d'utiliser le site web d'autrui comme support publiciatire est-elle
condamnable ?


--
David Jourand
Avatar
Pascal Hambourg
David JOURAND a écrit :

les partiques qui consistent à manipuler
l'en-tête Referer, à faire des trackback ou des commentaires
automatiques (i.e. par avec des robots) qui n'ont d'autre but que
d'utiliser le site web d'autrui comme support publiciatire est-elle
condamnable ?



Peut-être en invoquant la loi Godfrain, notamment :

Article 323-2
Le fait d'entraver ou de fausser le fonctionnement d'un système de
traitement automatisé de données est puni de trois ans d'emprisonnement
et de 300 000 F d'amende.

Article 323-3
Le fait d'introduire frauduleusement des données dans un système de
traitement automatisé ou de supprimer ou de modifier frauduleusement les
données qu'il contient est puni de trois ans d'emprisonnement et de 300
000 F d'amende.

Mais à mon avis ce n'est pas gagné d'avance.
Avatar
patpro ~ Patrick Proniewski
In article
,
David JOURAND wrote:

Je pense qu'il y a confusion sur ce qu'est un en-tête Referer. Cet
en-tête est renseigné par le navigateur de l'internaute lorque ce
dernier clique sur un lien présent sur une page web. La valeur de cet
en-tête est l'URL de la page contenant le lien.


...

Il est par conséquent possible qu'il y ait des informations nominatives.
En pratique cela n'arrive quasiment jamais.




c'est exact. Les appli web bien codées n'intègre pas d'éléments
"personnels" dans les URL autre que des éventuels ID de session
périssables dont la contrepartie identifiante est stockée sur le
serveur. Mais personne n'est à l'abri d'un webmail ou d'un forum mal
codé (par exemple).

patpro

--
http://www.patpro.net/
Avatar
patpro ~ Patrick Proniewski
In article <e8b0ha$k0l$,
Pascal Hambourg wrote:

David JOURAND a écrit :
>
> les partiques qui consistent à manipuler
> l'en-tête Referer, à faire des trackback ou des commentaires
> automatiques (i.e. par avec des robots) qui n'ont d'autre but que
> d'utiliser le site web d'autrui comme support publiciatire est-elle
> condamnable ?

Peut-être en invoquant la loi Godfrain, notamment :

Article 323-2
Le fait d'entraver ou de fausser le fonctionnement d'un système de
traitement automatisé de données est puni de trois ans d'emprisonnement
et de 300 000 F d'amende.

Article 323-3
Le fait d'introduire frauduleusement des données dans un système de
traitement automatisé ou de supprimer ou de modifier frauduleusement les
données qu'il contient est puni de trois ans d'emprisonnement et de 300
000 F d'amende.

Mais à mon avis ce n'est pas gagné d'avance.



a mon avis, cela ne couvrira pas le cas des commentaires
"publicitaires", et probablement pas le cas des trackbacks. Pour le
referer c'est plus compliqué.

patpro

--
http://www.patpro.net/
Avatar
Cedric Blancher
Le Mon, 03 Jul 2006 08:55:10 +0200, David JOURAND a écrit :
Si votre question est : "l'URL référante peut-elle contenir des
informations nominatives ?", la réponse est non.



http://www.monsitecodeaveclespieds.com/index.php?login=samuel

Ça compte ? Des fois, quand je regarde mes logs, j'en vois de très
belles passer, avec des choses clairement assimilables à des données
personnelles.


--
BOFH excuse #225:

It's those computer people in X {city of world}. They keep stuffing things up.
Avatar
David JOURAND
>> >
> les partiques qui consistent à manipuler
> l'en-tête Referer, à faire des trackback ou des commentaires
> automatiques (i.e. par avec des robots) qui n'ont d'autre but que
> d'utiliser le site web d'autrui comme support publiciatire est-elle
> condamnable ?

Peut-être en invoquant la loi Godfrain, notamment :

Article 323-2
Le fait d'entraver ou de fausser le fonctionnement d'un système de
traitement automatisé de données est puni de trois ans d'emprisonnement
et de 300 000 F d'amende.

Article 323-3
Le fait d'introduire frauduleusement des données dans un système de
traitement automatisé ou de supprimer ou de modifier frauduleusement les
données qu'il contient est puni de trois ans d'emprisonnement et de 300
000 F d'amende.

Mais à mon avis ce n'est pas gagné d'avance.



a mon avis, cela ne couvrira pas le cas des commentaires
"publicitaires", et probablement pas le cas des trackbacks. Pour le
referer c'est plus compliqué.



Effectivement, il n'y a pas introduction frauduleuse ni altération du
système... Par contre, la recherche de cette loi Godfrain m'a permis de
(re)trouver la LCEN
(http://www.legifrance.gouv.fr/html/actualite/actualite_legislative/decrets_application/2004-575.htm)

Il me semble que les pratiques décrites précédemment sont contraires à
l'esprit de la loi, en particulier le Chapitre II (La publicité par voie
électronique) du Titre II (DU COMMERCE ÉLECTRONIQUE) :

Article 20
Toute publicité, sous quelque forme que ce soit, accessible par un
service de communication au public en ligne, doit pouvoir être
clairement identifiée comme telle. Elle doit rendre clairement
identifiable la personne physique ou morale pour le compte de laquelle
elle est réalisée.

Article 22
Est interdite la prospection directe au moyen d'un automate d'appel,
d'un télécopieur ou d'un courrier électronique utilisant, sous
quelque forme que ce soit, les coordonnées d'une personne physique qui
n'a pas exprimé son consentement préalable à recevoir des
prospections directes par ce moyen.

(...)

Constitue une prospection directe l'envoi de tout message destiné à
promouvoir, directement ou indirectement, des biens, des services ou
l'image d'une personne vendant des biens ou fournissant des services.

(...)

Dans tous les cas, il est interdit d'émettre, à des fins de
prospection directe, des messages au moyen d'automates d'appel,
télécopieurs et courriers électroniques, sans indiquer de
coordonnées valables auxquelles le destinataire puisse utilement
transmettre une demande tendant à obtenir que ces communications
cessent sans frais autres que ceux liés à la transmission de celle-ci.
Il est également interdit de dissimuler l'identité de la personne pour
le compte de laquelle la communication est émise et de mentionner un
objet sans rapport avec la prestation ou le service proposé.


Qu'en pensez-vous ?

--
David Jourand
1 2 3 4