Comment préserver une preuve numérique ?
Les bonnes pratiques techniques pour conserver des éléments numériques sans les altérer — smartphone, ordinateur, cloud, e-mails, messageries — et ce qu'elles permettent, ou non, d'établir.
L'essentiel. Préserver une preuve numérique, c'est garder le support original intact, éviter toute manipulation qui modifie les données ou leurs métadonnées, noter les circonstances de la découverte, puis faire réaliser une copie forensique vérifiée par empreinte cryptographique. Ces précautions techniques ne préjugent pas de l'appréciation juridique des éléments, qui appartient au juge.
Ce guide est technique. Il décrit des bonnes pratiques de conservation et ne constitue pas un avis juridique. Les règles d'admissibilité et d'appréciation de la preuve relèvent du droit applicable et de la juridiction saisie ; consultez votre avocat.
1. Conserver le support original
Le support d'origine — téléphone, ordinateur, disque, clé USB — est la référence. Tant qu'il est intact, une copie fidèle reste possible. Chaque utilisation ordinaire modifie des données : ouvrir un fichier change ses dates d'accès, une mise à jour réécrit des zones du système, une réinitialisation efface l'essentiel.
2. Les précautions avant toute manipulation
- Ne pas réinitialiser, restaurer ni mettre à jour l'appareil.
- Ne pas supprimer l'application, le message ou le fichier suspect.
- Ne pas « nettoyer » l'appareil avec un antivirus ou une application de détection grand public.
- Isoler du réseau plutôt qu'éteindre un ordinateur ou un serveur : la mémoire vive disparaît à l'extinction.
- Noter la date et l'heure de la découverte, et chaque action entreprise depuis.
3. Les captures d'écran : utiles, mais limitées
Une capture d'écran fige ce qui s'affichait, et c'est souvent la première chose à faire lorsqu'un contenu risque de disparaître. Mais elle a des limites : elle ne contient pas les métadonnées de l'élément d'origine, elle ne prouve pas à elle seule son authenticité et elle se modifie facilement. Elle complète la conservation de l'original ; elle ne la remplace pas.
Pour un contenu en ligne, un constat technique horodaté — URL, date, heure, empreinte du contenu capturé, méthode — est plus robuste. C'est l'objet de la page usurpation et faux profils.
4. Métadonnées et horodatage
Les métadonnées accompagnent un fichier ou un message : dates de création et de modification, auteur, appareil, localisation, en-têtes d'un e-mail. Elles permettent souvent de dater et de situer un élément, mais elles sont fragiles : copier, transférer ou éditer un fichier peut les modifier. D'où l'importance de travailler sur une copie réalisée dans les règles, et de tenir compte des fuseaux horaires et du réglage de l'horloge de chaque appareil.
5. L'acquisition forensique et le hash
Une acquisition forensique est une copie réalisée selon une méthode qui n'altère pas le support, et dont chaque étape est documentée. Au moment de la copie, on calcule une empreinte cryptographique — par exemple SHA-256 — qui caractérise le contenu. Si l'on recalcule l'empreinte plus tard et qu'elle est identique, la copie n'a pas été modifiée. C'est ce qui permet à un tiers de vérifier le travail.
Les lignes directrices internationales, comme ISO/IEC 27037 et NIST SP 800-86, décrivent ces étapes d'identification, de collecte, d'acquisition et de préservation.
6. La chaîne de conservation
La chaîne de conservation, ou chaîne de garde, retrace le parcours de chaque élément : qui l'a remis, à qui, quand, dans quel état, et quelles opérations ont été réalisées. Un procès-verbal de remise, un scellé et un journal des opérations en sont les pièces habituelles. Sans elle, l'intégrité d'un élément devient difficile à démontrer.
7. Selon le support
Smartphone
Ne pas réinitialiser ni mettre à jour ; conserver l'appareil allumé si possible ; ne pas désinstaller l'application en cause. Voir analyse forensique de smartphone.
Ordinateur
Isoler du réseau sans éteindre ; ne pas lancer d'outil de nettoyage ; noter les programmes ouverts. La mémoire vive contient des traces qui disparaissent à l'extinction.
Cloud et comptes en ligne
Les journaux d'activité ont une durée de conservation limitée : demander leur export ou leur gel rapidement. Sécuriser le compte depuis un autre appareil de confiance. Voir cyber-investigation.
E-mails
Conserver le message dans la boîte d'origine, avec ses en-têtes complets ; éviter de le transférer, ce qui en réécrit une partie.
Messageries
Ne pas supprimer la conversation ; ne pas bloquer l'interlocuteur avant d'avoir figé les échanges ; noter les identifiants, numéros et pseudonymes. En cas de chantage, voir sextorsion et chantage.
8. Ce que la technique établit, et ce qui relève du juge
La démarche technique établit des faits : tel fichier existait à telle date, tel message provient de tel compte, telle copie est identique à l'original. Elle documente sa méthode et ses limites. En revanche, la qualification juridique de ces faits, la recevabilité des éléments et leur force probante relèvent du droit applicable et de l'appréciation du juge. Un rapport sérieux ne franchit pas cette frontière.
Questions fréquentes
Une capture d'écran peut-elle suffire ?
Elle peut être utile, surtout pour un contenu susceptible de disparaître. Mais elle ne contient pas les métadonnées d'origine et se modifie facilement : il est préférable de conserver aussi l'original et, pour un contenu en ligne, de faire réaliser un constat technique horodaté.
Qu'est-ce qu'un hash ?
Une empreinte calculée à partir d'un contenu numérique. La moindre modification du contenu change l'empreinte. Recalculer le hash d'une copie et le comparer à celui relevé lors de l'acquisition permet de vérifier qu'elle n'a pas été altérée.
Faut-il porter plainte avant de faire préserver des éléments ?
Non. Il est souvent utile de préserver les éléments avant ou pendant la plainte. La décision de porter plainte et ses modalités relèvent de vous et de votre avocat.
Des éléments numériques à préserver ?
Premier échange gratuit et confidentiel. Nous vous indiquons ce qu'il faut figer en priorité, et comment.