Technologie de détection

Les registres de Certificate Transparency sont des listes publiques, en ajout seul, où les autorités de certification inscrivent chaque certificat TLS qu’elles émettent. Le système lit en continu l’union des registres reconnus par Chrome et par Apple. Chaque entrée porte l’identifiant du registre, l’index de la feuille et son empreinte : les coordonnées avec lesquelles quiconque peut la retrouver dans le registre public.

La couverture se vérifie sur les certificats distincts : chaque certificat est inscrit, par politique, dans au moins deux registres d’opérateurs différents, si bien que les registres lus se couvrent mutuellement.

Sur le nom du domaine : un index de mots-clés financiers en plusieurs langues et un index des noms cités dans les avertissements des autorités, lus à travers la Public Suffix List pour qu’un sous-domaine d’un service d’hébergement ne soit pas pris pour un domaine. Le filtre retient environ un domaine sur mille parmi ceux vus en une journée.

Mesuré sur le registre de production : entre 0,10% et 0,13% des domaines distincts vus en une journée. Le registre conserve aussi ce qui a été retenu sans devenir un cas : « jamais vu » et « vu et écarté » sont deux informations différentes.

La page est demandée en suivant les redirections ; on enregistre le code de réponse, l’adresse finale, le temps de réponse et les langues réellement servies. Une langue compte comme servie si la page est dans cette langue ou si une version dans cette langue a été observée, pas seulement déclarée.

Temps médian de lecture dans la fenêtre : 0,7 s.

Un modèle de langage à deux niveaux lit le texte : un premier niveau rapide sur toutes les pages, un second plus capable seulement lorsque le premier niveau signale une incertitude. Il extrait le type de service, les agréments déclarés, l’entité juridique, les canaux de contact et les indicateurs : rendements garantis, agrément non déclaré, pression au dépôt, urgence artificielle, contact uniquement par messagerie privée. Chaque verdict enregistre le modèle qui l’a produit. Les autorisations déclarées sont enregistrées comme texte, avec la phrase de la page qui les affirme : le rapprochement avec les registres officiels revient à l’autorité qui surveille, sauf une liste de sites d’intermédiaires italiens, dont ceux communiqués par les SIM inscrites au registre de la CONSOB, qui évite que le site d’un intermédiaire inscrit soit pris pour un domaine cité dans un avertissement.

Dans la fenêtre : 28 127 verdicts, 8 770 passés au second niveau (31%) ; 3,2 s en médiane pour la classification. Le modèle opère avec un cadrage explicite : « analyste pour le régulateur italien ».

La sévérité intrinsèque, calculée à partir des indicateurs, est corrigée par ce que le contenu seul ne peut pas dire : la popularité du domaine dans l’échantillon public Chrome UX Report, les redirections vers des sites connus, la correspondance avec les noms cités dans les avertissements. Le résultat est la sévérité effective, la seule utilisée sur ce site et dans la file de travail.

La correspondance avec les avertissements entre aussi dans le calcul, et la page Données en tient compte lorsqu’elle compare sévérité et avertissements.

Pour chaque domaine à sévérité élevée, un robot qui se déclare comme tel capture la page et ses ressources au format WARC, le standard des archives du web, avec l’empreinte du contenu pour chaque enregistrement et la date et l’heure de la capture. Les copies se consultent dans une visionneuse séparée, qui exécute le HTML conservé en isolation de la console.

Chaque copie, et chaque copie manquante, reste enregistrée dans le dossier ; la couverture mesurée figure dans le document des preuves.

Une vérification périodique demande au serveur s’il répond encore. Un code 403 ou 500 compte comme actif : c’est en général un service de protection devant le site. Un domaine jamais vérifié reste distinct d’un domaine joignable, à l’écran aussi.

Les parts et résultats des vérifications de la fenêtre figurent dans la page Données.