Faille « Vue unique » de WhatsApp : « disparaître » est une promesse, pas une garantie

Que signifie « disparu pour toujours » dans une application ? Si la réponse est « masqué de l'écran où l'on regarde d'habitude », alors cela ne signifie pas grand-chose. C'est l'enseignement dérangeant du dernier bogue de « Vue unique » sur WhatsApp, et c'est pourquoi nous considérons cette fonction comme une politesse, non comme un coffre-fort.

Ce qui s'est passé, en bref

Comme le rapporte Mashable, un bogue sous iOS permettait d'ouvrir des photos et vidéos « Vue unique » autant de fois qu'on le souhaitait. Il a d'abord été décrit publiquement par le chercheur en sécurité Ramshath dans un billet de blog. Aucune compétence technique n'était nécessaire. Il suffisait d'aller dans Réglages > Stockage et données > Gérer le stockage, de trouver la discussion de l'expéditeur, de trier par « Plus récents »: le média censé avoir été consommé était toujours là.

Seuls les utilisateurs d'iPhone étaient concernés. Ramshath affirme l'avoir signalé via le programme de bug bounty de Meta, qui a répondu qu'il le connaissait déjà et travaillait à un correctif. Celui-ci est arrivé avec WhatsApp 25.2.3 pour iOS. Une précision sur les dates: la copie syndiquée de l'article sur Yahoo est datée du 29 janvier 2025; il s'agit donc de la résurgence d'un problème déjà corrigé, non d'une faille récente.

Le bogue est petit; le schéma, non

Pris isolément, c'est un défaut mineur. Il touchait une seule plateforme, il est corrigé, et l'exploiter supposait que le destinataire aille chercher. Mais Mashable note aussi que ce n'est pas la première fois. En septembre 2024, des chercheurs ont découvert que le contenu « disparu » restait accessible via l'URL exacte du fichier, car il était stocké de façon non sécurisée sur les serveurs de WhatsApp. Mashable ajoute qu'un problème similaire survenu ensuite avec la fonction a lui aussi été corrigé.

Deux couches différentes, un serveur et un téléphone, ont échoué de la même manière. À notre avis, c'est là le vrai sujet. « Vue unique » est facile à promettre dans l'interface, où il suffit de masquer un bouton et d'afficher un message. C'est bien plus difficile à garantir dans la tuyauterie: caches, gestionnaires de stockage, sauvegardes, conservation sur les serveurs. Chacun de ces endroits peut conserver discrètement une copie qui, selon le nom de la fonction, ne devrait pas exister.

Nous pensons que cela continuera d'arriver à toute application qui vend de l'éphémère. L'interface est la partie bon marché. La suppression réelle doit être correcte partout où passe le fichier, et un seul oubli brise la promesse.

Le modèle de menace n'a jamais été le logiciel

Voici ce que les gens sous-estiment, selon nous. Même une fonction « Vue unique » parfaitement mise en œuvre ne peut empêcher la personne à qui vous l'avez envoyée d'en faire quelque chose. Elle peut, par exemple, photographier l'écran avec un autre appareil. La fonction réduit le partage fortuit; elle ne crée pas la confiance. Ce n'est pas une affirmation documentée sur ce bogue, c'est simplement la façon dont fonctionne tout contenu qui arrive sur l'écran d'autrui, et c'est pourquoi nous parlons d'outils fonctionnant au mieux.

La question utile n'est donc pas « cette fonction est-elle sûre ? » mais « que se passe-t-il si elle échoue ? ». Pour un mème ou un cliché de votre déjeuner, rien. Pour un document, une photo privée ou tout ce qui pourrait vous nuire s'il refaisait surface, la réponse devrait changer ce que vous envoyez.

Ce que nous ferions

Trois mesures pratiques:

• Mettez l'application à jour. Mashable conseille d'installer la dernière version, et le correctif est arrivé avec WhatsApp 25.2.3 sur iOS. Si vous avez une ancienne version, vous utilisez celle qui fuyait.
• Considérez « Vue unique » comme une politesse. Servez-vous-en pour signifier « merci de ne pas conserver ceci », et n'envoyez que ce que vous supporteriez de revoir.
• N'envoyez pas ce dont vous ne pouvez pas vous permettre de perdre le contrôle. Aucun réglage ne le rend sûr. Le seul contenu éphémère fiable est celui que vous n'avez jamais envoyé.

Quant à Meta, rendons à César ce qui lui revient: le correctif serait arrivé assez vite après le signalement. Mais la répétition du schéma suggère que les fonctions baptisées « disparaît » devraient être testées comme des fonctions de sécurité, non comme un simple vernis d'interface. Tant que ce ne sera pas la norme, l'étiquette honnête serait « disparaît si tout fonctionne ». C'est ainsi que nous lisons ce nom, et nous vous conseillons d'en faire autant.