Contenu et vérification du dossier

Identifiant du registre, index et empreinte de la feuille

Lorsque la détection porte ces trois coordonnées, quiconque peut demander l’entrée correspondante à l’opérateur du registre par l’interface publique de Certificate Transparency et obtenir le certificat qui l’a produite, avec la date et l’heure de l’inscription attestées par le registre. La vérification ne dépend pas de nous : le registre est tenu par un tiers, en ajout seul.

Dans la fenêtre, 2 900 des 5 856 domaines critical (50%) portent les trois coordonnées, avec une provenance attestée ; pour ceux-là, le système calcule sur demande la preuve d’inclusion : que ce certificat se trouve dans cet arbre signé, vérifiable auprès du checkpoint du registre. Pour les autres, le dossier l’indique explicitement.

La part attestée est publiée, et chaque dossier dit de quel côté il se trouve.

Format, empreinte et heure de la capture

La copie est capturée par un robot qui se déclare comme tel, au format WARC (ISO 28500), le standard des archives du web. Chaque enregistrement porte l’empreinte de son contenu au format prévu par le standard, SHA-1 en base32, et la date et l’heure de la capture. L’archive contient 4 836 900 enregistrements, dont 1 308 222 de réponse avec empreinte.

Aujourd’hui chaque enregistrement porte l’empreinte SHA-1 prévue par le standard WARC ; le schéma de l’archive prévoit aussi une SHA-256, pas encore présente à la date de mesure. SHA-1 protège contre l’erreur et la corruption du fichier. L’empreinte établit que le fichier n’a pas changé ; l’heure de la capture repose sur notre propre registre. L’heure d’inscription du certificat, elle, est attestée par le registre public, tenu par un tiers.

Les copies se consultent dans une visionneuse séparée de la console, qui exécute le HTML conservé en isolation. La même copie peut être téléchargée comme fichier WARC et lue avec n’importe quel outil du standard.

Couverture : 5 152 des 5 856 critical de la fenêtre ont au moins une copie (88%). Le robot se présente pour ce qu’il est, et certains sites choisissent de ne pas le servir : cela aussi reste enregistré dans le dossier.

Champs extraits et modèle enregistré

La fiche de classification enregistre le modèle qui a produit le verdict, le niveau auquel il l’a été, le temps mis et les champs extraits du texte de la page.

Les champs extraits, tels qu’ils sont nommés dans la fiche :

• Entité juridique et siège déclaré

  Le sujet que la page dit être, et l’endroit où elle dit avoir son siège.

• Agréments déclarés

  Les agréments ou enregistrements que la page affirme détenir, avec le texte qui les affirme.

• Canaux de contact

  Courrier, téléphone, messagerie, formulaires ; et si le contact n’est possible que par messagerie privée.

• Signaux de risque

  Les indicateurs : rendements garantis, agrément non déclaré, pression au dépôt, urgence artificielle, témoignages invérifiables, contenu généré.

• Incohérences

  Les contradictions internes à la page : siège dans un pays, agrément dans un autre, devise dans un troisième.

• Dates et heures

  Inscription du certificat, lecture de la page, capture de la copie, dernière vérification de joignabilité : chacun en UTC.

Le dossier s’exporte en PDF, dans les trois langues : entité et siège déclarés, canaux de contact, les phrases de la page à l’origine de la détection, tous les agréments déclarés, les langues servies, les copies archivées avec empreinte et position dans le fichier WARC, les avertissements correspondants avec l’autorité qui les a émis. L’interprétation du modèle vient en dernier, dans un encadré séparé.

Vérification de l’empreinte dans cette page

Ci-dessous figure le texte de la fiche du spécimen qui ouvre ce document. Son empreinte SHA-256 a été calculée à la publication, par une implémentation différente de celle de votre navigateur. Le navigateur la recalcule à présent, sur le texte que vous avez sous les yeux.

Si les deux correspondent, vous avez vérifié deux choses à la fois : que l’empreinte est reproductible, et que le texte servi n’a pas changé depuis la publication. Changez-en un caractère : elle change entièrement. Remettez-le tel quel : elle redevient la même.