Chaîne de garde : conserver la preuve d'une publication en ligne qui disparaît

Une publication en ligne est un objet instable. Elle est modifiée sans mention de version, dépubliée après une mise en cause, remplacée par une page d'erreur lors d'une refonte, ou simplement emportée par l'expiration d'un nom de domaine. Pour un service de veille, cette instabilité n'est pas une gêne marginale : c'est le point où un dossier solide devient un dossier contestable. L'affirmation selon laquelle telle entreprise annonçait ceci à telle date ne vaut que si la pièce qui la soutient existe encore, et si l'on établit qu'elle n'a pas été retouchée entre-temps.

La notion qui répond à ce problème s'appelle la chaîne de garde. Empruntée à la procédure pénale et à la criminalistique, elle désigne la traçabilité continue d'un élément depuis sa collecte jusqu'à sa production, de sorte que chaque manipulation soit connue et attribuable. Transposée à la source ouverte, elle ne dit rien de la véracité du contenu capturé : elle garantit seulement que la pièce produite est bien celle qui a été collectée, à l'endroit et au moment déclarés.

Cette distinction est souvent perdue de vue, et les relevés publiés par l'Observatoire de l'Intelligence Économique sur les pratiques de conservation des sources vont dans le même sens : la capture d'écran reste le réflexe dominant, alors qu'elle ne porte presque aucune des propriétés attendues d'une pièce opposable. Cet article délimite donc la notion, énonce les trois exigences qui la constituent, distingue conservation, archivage public et constat, et précise ce que la chaîne de garde ne fait pas.

Ce que désigne la chaîne de garde, et ce qu'elle ne garantit pas

La chaîne de garde est une propriété du dossier, non un logiciel ni un format de fichier. Elle est constituée dès lors que l'on répond sans trou à quatre questions : quelle ressource exactement, à quel moment, par qui, et quelles opérations ont été appliquées ensuite. Chaque rupture dans cette séquence, un fichier renommé à la main, une pièce recopiée d'un poste à un autre sans journal, une date de collecte reconstituée de mémoire, affaiblit l'ensemble du dossier et pas seulement la pièce concernée.

Son périmètre est étroit et il faut l'assumer. Une chaîne de garde impeccable sur un faux document démontre seulement que ce faux était bien publié à cette adresse à cette date. Elle ne dit rien de l'exactitude du contenu, de la sincérité de l'auteur ni de la représentativité de la pièce. L'authenticité de la collecte et la véracité du fait sont deux évaluations séparées, et les confondre produit des notes de veille faussement rassurantes, où la rigueur formelle tient lieu de vérification.

Trois exigences constitutives : identifier, figer, journaliser

Identifier, d'abord. La ressource doit être désignée par son adresse complète telle qu'elle a été atteinte, avec l'heure de collecte rapportée à un référentiel horaire explicite, et non par un titre de page ou une mention approximative. Le contexte technique compte autant : le fait d'avoir été authentifié ou non, la présence de contenus servis dynamiquement, la version linguistique et régionale affichée. Deux visiteurs obtiennent parfois deux pages différentes à la même adresse, et une identification sérieuse mentionne toujours les conditions d'accès.

Figer, ensuite. Le contenu collecté doit être réduit à une empreinte numérique calculée sur le fichier tel quel, puis conservé en lecture seule. L'empreinte est le seul moyen simple de démontrer, des mois plus tard, que le fichier produit devant un tiers est exactement celui de la collecte. Journaliser, enfin : chaque accès, chaque copie, chaque conversion de format se consigne avec son auteur et son horodatage. Un dossier sans journal n'a pas de chaîne de garde, il a seulement des fichiers.

Ces trois exigences dessinent un ordre de priorité utile. Une capture d'écran accompagnée de l'adresse complète, de l'heure de collecte et d'une empreinte du fichier image vaut mieux qu'une archive technique sophistiquée dont personne ne sait quand ni comment elle a été produite. La sophistication de l'outil ne compense jamais l'absence de journal, alors que la discipline de journalisation rehausse la valeur des pièces les plus élémentaires.

Pourquoi la capture d'écran seule ne suffit pas

L'image d'un écran est une représentation, pas la ressource. Elle se modifie dans n'importe quel éditeur graphique sans laisser de trace visible, elle perd l'adresse réelle dès que la barre du navigateur est recadrée, et elle n'emporte ni les en-têtes de la réponse, ni les ressources liées, ni le texte sous-jacent que l'on voudra rechercher plus tard. Une capture isolée établit surtout qu'une image existe et que quelqu'un affirme d'où elle vient.

La bonne pratique consiste à empiler plusieurs niveaux de conservation sur la même pièce, du plus lisible au plus technique : l'image pour la restitution immédiate, une version textuelle intégrale pour la recherche et la citation, une capture du contenu servi par le serveur pour l'analyse, et une soumission à un service d'archivage public dont l'horodatage est tenu par un tiers. Ce dernier point est décisif, car un horodatage produit et détenu par le seul veilleur reste toujours plus fragile qu'un horodatage attesté à l'extérieur.

Conservation interne, archivage public et constat : trois niveaux de valeur

Trois niveaux répondent à trois besoins distincts. La conservation interne sert la mémoire du service et la reproductibilité des analyses ; elle suppose un stockage stable, une nomenclature, un journal et une politique de durée de conservation. L'archivage public confie l'horodatage à un tiers indépendant et rend la pièce citable par d'autres, avantage considérable pour une note diffusée hors du service, mais il demeure soumis au retrait à la demande de l'éditeur du site archivé.

Le troisième niveau est le constat établi par un professionnel habilité, selon un protocole documenté. Il change la nature de la pièce, non par magie technique mais parce qu'un tiers assermenté décrit ce qu'il a vu et la façon dont il l'a vu. Ce niveau a un coût, il ne se déclenche donc que sur les pièces porteuses d'un enjeu contentieux. La règle d'arbitrage est simple : plus la pièce risque d'être contestée devant un tiers, plus l'horodatage doit être externalisé.

En amont de ce continuum se joue une bataille de délai de détection : plus une publication est repérée tôt, plus elle est figée avant modification ou retrait. NewsCore (www.newscore.fr) couvre en continu des millions de sources et signale les publications pertinentes en temps réel, ce qui laisse à l'équipe le temps de conserver la pièce pendant qu'elle est encore en ligne. La décision de conserver, et à quel niveau de valeur, reste un arbitrage documentaire qui appartient au service.

Ce que dit la disparition elle-même

Le retrait d'une publication est une information, et souvent une information plus intéressante que son contenu. Un communiqué dépublié après une mise en cause, une annexe technique remplacée sans mention de version, un profil de dirigeant effacé d'une page d'équipe, une mention légale discrètement corrigée : ces mouvements se lisent comme des signaux faibles, à condition d'avoir horodaté l'état antérieur et de consigner la date à laquelle l'absence a été constatée.

Une chaîne de garde bien tenue enregistre donc deux faits distincts pour une même ressource : ce qu'elle disait à telle date, et le fait qu'elle ne le disait plus à telle autre. Le second exige la même rigueur que le premier, avec la mention du code d'erreur obtenu et des conditions d'accès. Un droit à l'effacement légitimement exercé par une personne physique et un retrait tactique décidé par une organisation appellent d'ailleurs des traitements différents, ce qui suppose de qualifier la nature du retrait avant d'en tirer une lecture.

Une pièce sans journal de collecte n'est pas une preuve fragile : ce n'est pas une preuve.

Questions fréquentes

Qu'est-ce que la chaîne de garde en veille et en OSINT ?

C'est la traçabilité continue d'une pièce depuis sa collecte jusqu'à sa production, de sorte que l'on démontre qu'elle n'a pas été altérée entre les deux. Concrètement, elle repose sur l'identification exacte de la ressource et du moment de collecte, sur une empreinte numérique qui fige le fichier, et sur un journal des manipulations. Elle porte sur l'authenticité de la collecte, jamais sur la véracité du contenu collecté, qui relève d'une vérification distincte et de critères propres.

Comment prouver qu'une page web existait à une date donnée ?

En faisant reposer l'horodatage sur un tiers plutôt que sur soi. La soumission à un service d'archivage public produit un enregistrement daté et citable par d'autres, et le dépôt conjoint d'une empreinte numérique du fichier collecté sert ensuite à démontrer l'identité entre la pièce produite et la pièce d'origine. Lorsque l'enjeu est contentieux, le constat établi par un professionnel habilité selon un protocole documenté reste le niveau le plus robuste, et le seul conçu dès l'origine pour être discuté devant un tiers.

Une capture d'écran a-t-elle une valeur de preuve ?

Faible si elle est seule, réelle si elle est encadrée. Isolée, elle se modifie sans laisser de trace, ne conserve ni l'adresse réelle ni les conditions d'accès, et repose entièrement sur la parole de celui qui la produit. Accompagnée de l'adresse complète, d'une heure de collecte rapportée à un référentiel explicite, d'une empreinte du fichier et d'un journal de manipulations, elle devient un élément recevable dans un dossier de veille, d'autant plus si une archive publique horodatée vient la corroborer.