Construire des réseaux de confiance

Diane et moi avons déjà reçu à nos adresses gmail.com des messages qui ne nous étaient pas destinés. Pas des spams ordinaires, mais de vrais documents, sérieux, adressés aux mauvaises personnes. De toute évidence, quand on ne connaît pas l’adresse d’une personne, on essaie «quelque chose» sur Gmail. C’est inquiétant.

Dans plusieurs mandats, j’essaie de travailler sur la confiance avec mes partenaires. J’ai donné des pistes concrètes dans Conseils d’utilisation des QR codes, par exemple.

Dans le domaine religieux, cette confiance me semble très importante. Que se passe-t-il quand des personnes envoient des «confessions» des pasteur·e·s qui n’en sont pas? Et comment faire pour créer un dispositif fiable sans moyens techniques complexes?

Pour la suite, je prends l’exemple du pasteur X Y qui travaille pour Z.

Vérifier ce que l’on fait

Si vous écrivez à un·e pasteur·e, un prêtre ou un·e diacre, voici mes remarques:

• Essayez toujours de trouver l’adresse mail de la personne sur le site de son institution. Même si vous naviguez sur son site personnel ou un profil sur les réseaux sociaux, passez par l’étape de l’institution. Vous devriez trouver une adresse de type x.y@z.ch.
• Parfois, l’adresse sur le site de l’institution n’est pas en @z.ch. C’est bien dommage mais l’attestation sur le site officiel lui donne tout de même un certain crédit.
• Si vous ne trouvez pas la personne X Y sur le site Z, c’est peut-être que cette personne n’y travaille plus. Il doit y avoir une suspicion légitime.
• Les documents papier qui portent une adresse comme x.y@z.ch ne sont pas forcément fiables. Rien ne dit que ce n’est pas un vieux document ou un faux. Vérifiez en temps réel sur le site z.ch!
• Sur le site personnel ou le profil social de la personne, si vous trouvez une adresse de type x.y@z.ch, c’est très bien. Mais je conseille quand même la première étape. Vérifiez en temps réel!

Les ecclésiastiques sont tenus à la confidentialité par la loi. C’est pourquoi je ne traite que leur cas. Avant de leur dire des choses confidentielles, vérifiez la destination, sérieusement.

Évitez d’écrire avec une adresse commune (adresse familiale, adresse générique). Votre famille ou vos collègues de bureau ne doivent pas lire la réponse reçue (ni votre mail initial).

Évitez un service mail qui se fout de votre confidentialité (comme GMail).

Usurpation d’identité

Je n’ai pas connaissance d’usurpations d’identité dans le domaine ecclésial. Mais ça ne saurait tarder, au rythme où se développent les impostures avec l’IA (intelligence artificielle) et même sans. Pour vous faire peur et voir jusqu’où peut aller un montage malin, je vous conseille La médaille de l’imposture.

Ce qui est assez simple à faire, c’est une usurpation d’identité pure et simple.

X Y travaille donc pour Z. Il est bien employé de cette institution. Il existe, travaille et a des relations sociales.

Comme X Y n’a pas de site personnel, il est très facile d’acheter le nom de domaine XY.ch. Puis de créer une adresse x.y@gmail.com, un profil Facebook, un profil Instagram, etc. De prendre une photo de X Y sur le web et de la placer au bon endroit. De publier quelques contenus.

Le problème, c’est qu’il n’y a pas de lien entre ces fausses présences de X Y en ligne et sa présence sur le site de l’institution Z.

Sur ce faux site, X Y va proposer un formulaire de contact (qui renverra les mails à x.y@gmail.com). Il ne serait pas possible d’envoyer des mails à x.y@z.ch qui ne les recevrait pas. C’est là toute l’astuce. X Y ne peut pas relever l’adresse x.y@z.ch, mais peut relever son adresse x.y@gmail.com

L’usurpation deviendra soudainement plus complexe quand il faudra «faire du faux» avec les serveurs de l’institution Z.

En passant, si l’adresse affichée est x.y@z.ch, vérifiez dans votre programme de mail qu’elle ne renvoie pas à x.y@gmail.com. C’est facile. La preuve par l’exemple x.y@z.ch.

On en revient donc à notre histoire de départ qui consiste à vérifier l’existence et les moyens de contact de X Y sur le site de Z.

Faux ministres

L’autre truc trivial, c’est de créer quelque chose de complètement faux. Par exemple d’inventer la pasteure P. Dans cet exemple, il n’y a même pas besoin de site perso, juste des profils sociaux.

Je crée un profil Instagram @pasteure_p (il n’existe pas au moment de la rédaction de ces lignes). Je mets une photo volée sur le web, un portrait généré par IA ou une illustration. Je crée une petite bio. Puis je publie.

Au fond, si mes productions sont intéressantes, pourquoi pas. Mais si on s’adresse à moi en tant que pasteure, c’est un vrai problème. Pour des raisons légales, parce que je ne suis pas soumise au secret. Et parce que les infos confidentielles que je donne… finiront quelque part.

C’est une imposture très simple, possible avec tous les réseaux. Hélas!

Mais tout n’est pas (encore) perdu.

Créer la confiance par un réseau

Pour créer de la confiance, je propose de créer des liens mutuels. Je peux toujours créer un lien qui va de mon site A à l’institution B. Mais je ne peux pas créer un lien de l’institution B à mon site A sans l’accord de B.

Dans mon exemple d’usurpation d’identité, je peux créer tous les renvois que je souhaite entre tous les faux profils. Mais cela s’arrête quand je souhaite un mail en @z.ch ou un lien du site z.ch vers un de mes profils.

Je pense qu’il faut que les institutions proposent des liens vers les sites personnels. Et qu’elles incitent les pasteur·e·s, prêtres et diacres à proposer en retour un lien vers leur page institutionnelle.

Que des ministres ne souhaitent pas utiliser une adresse @z.com sur leur site perso, je peux comprendre. C’est alors souhaitable d’utiliser une adresse sur leur nom de domaine comme x@xy.ch plutôt qu’une adresse générique. Et c’est envisageable si la validation a déjà eu lieu par des liens réciproques.

Je conseille de valider les liens qui le permettent. C’est le cas des renvois sur mon profil Mastodon https://mastodon.social/@frdlch.

Ensuite, n’étant pas pasteur et ne souhaitant pas recevoir de confidences, je pense que mon identité n’a pas à être très sécurisée. Toutefois, j’essaie d’être le plus fiable possible par ma page /verify.

Pour les réseaux sociaux, je conseille de tout renvoyer à une page précise de son site ou à sa page d’institution. Si on n’a pas encore de site, je conseille d’acheter un nom de domaine chez Infomaniak et d’y mettre une seule page de liens vers toutes ses présences web reconnues. Puis de demander à son institution d’y renvoyer.

Le reste du réseau de confiance se construit par des liens classiques. D’autres blogs qui renvoient au nôtre, des citations dans la durée, des références par des organismes tiers comme les médias, etc.

Comme je le disais plus haut, tout n’est pas (encore) perdu. À condition de «faire du lien». Les liens, ce n’est pas de la publicité, c’est de la confiance!

Remarque technique

Techniquement, les liens mutuels peuvent être cachés. Par exemple, ce site signale:

<link rel="me" href="https://nicolasfriedli.ch/">
<link rel="me" href="https://frdl.ch/">
<link rel="me" href="https://ma-paroisse.ch/">
<link rel="me" href="https://github.com/nfriedli/">
<link rel="me" href="https://gravatar.com/nfriedli">
<link rel="me" href="https://mastodon.social/@frdlch">

Il dit aux logiciels, moteurs de recherche, IA, etc. que ces présences appartiennent au même Nicolas Friedli.

Et cette balise permet de vérifier mon lien vers ce site sur Mastodon:

<meta name="fediverse:creator" content="@frdlch@mastodon.social">

Dans WordPress, il est possible de faire pas mal de liens cachés directement dans l’interface, en renseignant les champs de son profil personne et de son site.