Notes de terrain sur l'exposition numérique

La plupart des usurpations réussissent parce que le client n'a aucun moyen faisant autorité de vérifier. Il reçoit un message d'un compte portant votre nom, et la seule chose à laquelle il peut le comparer est son souvenir de votre marque.

Une page « canaux officiels » corrige cette asymétrie à moindre coût. Publiez une page unique sur votre domaine principal listant chaque domaine que vous exploitez, chaque profil social qui est réellement le vôtre, chaque adresse de support depuis laquelle vous écrivez et — tout aussi important — un énoncé clair de ce que vous ne ferez jamais. « Nous ne demanderons jamais de paiement par message privé » neutralise plus d'attaques que la plupart des outils de surveillance.

Liez-la ensuite depuis vos échanges de support et votre signature d'e-mail. Quand une personne doute, il lui faut une destination, pas une intuition.

C'est la première recommandation d'une large part des rapports Guardian, et celle que les clients mettent en œuvre le plus souvent dans la semaine. Nous vous la donnons ici parce que vous devriez le faire, que vous nous achetiez quelque chose ou non.

Un compteur de menaces répond à une question que personne ne se pose. Ce qu'il vous faut savoir, c'est ce qui a été examiné, sur quelle période, depuis quelles sources, ce qui a été trouvé, et quel degré de confiance est attaché à chaque élément.

Posez quatre questions à tout fournisseur de surveillance. Où avez-vous cherché — précisément, quelles familles de sources ? Sur quelle période ? Pour chaque constat, quelle est l'URL source et l'horodatage d'observation ? Et quels constats ont été examinés par un humain au regard de critères énoncés ?

Si ces réponses n'existent pas, le compteur n'est pas une mesure. C'est un nombre dans un tableau de bord, et il ne survivra pas au contact d'une équipe d'abus de plateforme, qui demandera exactement ce que le tableau de bord n'a pas consigné.

L'enjeu commercial est simple : on ne dépose pas un compteur. On dépose un dossier.

Un enregistrement sosie est fréquent et souvent sans signification. Trois vérifications disent s'il faut s'en soucier.

D'abord : résout-il, et que sert-il ? Un domaine servant un tunnel de paiement cloné est un problème actif. Un domaine parqué est un point de veille. Un domaine qui ne résout pas est, pour l'instant, une note.

Ensuite : un certificat a-t-il été émis récemment ? Les journaux de transparence des certificats sont publics, et un certificat neuf sur un nom imitatif signifie en général que quelqu'un compte servir du contenu en HTTPS — donc, en général, qu'il compte être cru.

Enfin : est-il configuré pour l'e-mail ? Un domaine sosie configuré pour envoyer du courrier est une capacité de hameçonnage, quel que soit le contenu de son site, et c'est le cas le plus susceptible d'atteindre directement vos clients.

Un enregistrement qui échoue aux trois vérifications mérite d'être consigné et réobservé sous trente jours. Il ne mérite pas une urgence. Le traiter comme telle est la façon dont les équipes s'épuisent sur leur propre surveillance.

La plupart des signalements d'usurpation échouent sur la forme plutôt que sur le fond. Avant de déposer, réunissez cinq éléments.

La preuve que l'identité authentique est la vôtre — le compte vérifié, la marque déposée ou le domaine que vous contrôlez. Les examinateurs doivent d'abord établir le côté authentique avant d'examiner l'imitation.

L'URL précise de l'actif usurpateur, et non un résultat de recherche ou une capture d'application. Les examinateurs travaillent à partir d'identifiants.

Une capture horodatée du contenu tel qu'il apparaissait au moment de l'observation, car il changera.

Un énoncé précis de ce qui est imité : le nom, les visuels, la biographie, la revendication d'affiliation. « C'est faux » n'est pas exploitable ; « ce compte utilise notre marque déposée et reproduit mot pour mot la biographie de notre fondateur » l'est.

Et le préjudice, énoncé concrètement. Un profil qui sollicite un paiement auprès de vos clients ne donne pas le même signalement qu'un profil qui se contente d'exister.

Bien réunir tout cela constitue l'essentiel du travail de réponse, ce qui est précisément la raison d'être de l'Action Pack — mais rien ne vous empêche de le faire vous-même, et cette liste en est le contenu intégral.