Entre la paranoïa géopolitique ambiante et les discours rassurants de ByteDance, difficile de démêler le vrai du faux. Tout le monde a un avis sur TikTok, mais combien ont déjà pris la peine de sniffer ses paquets réseau ou de lire les audits de sécurité indépendants ? Spoiler : la réalité technique est bien plus nuancée qu un simple fantasme d espionnage de cartoon, mais elle n en reste pas moins problématique pour votre vie privée.
Pourquoi c est important
Le débat autour de TikTok ne repose pas sur une faille zero-day isolée, mais sur un modèle économique fondé sur l aspiration massive de métadonnées. Selon une analyse technique de référence menée par le laboratoire Citizen Lab de l Université de Toronto, TikTok ne déploie pas de comportement manifestement assimilable à un logiciel malveillant sur les appareils analysés. En clair, l application ne télécharge pas votre disque dur en douce à l insu du système d exploitation.
En revanche, selon ce même audit du Citizen Lab ainsi que les rapports de plusieurs chercheurs en cybersécurité indépendants, la collecte de télémétrie opérée par ByteDance est au moins équivalente à celle de ses concurrents directs chez Meta (Instagram, Facebook) ou Google. Le problème n est donc pas une différence de nature dans le pistage, mais la destination finale des flux et l infrastructure juridique de l éditeur : la loi chinoise sur le renseignement national de 2017 impose aux entreprises locales de collaborer avec les services de sécurité de l État si la demande leur en est faite.
1. Ce que le code révèle : audit technique
Pour comprendre ce que TikTok sait de vous, il faut distinguer deux vecteurs : l application native et son comportement réseau.
- L empreinte matérielle (Device Fingerprinting) : L application interroge intensivement l API système pour récupérer le modèle exact du terminal, la résolution d écran, l opérateur réseau, le niveau de batterie, les identifiants publicitaires réinitialisables (IDFA sur iOS, GAID sur Android) et la liste des réseaux Wi-Fi environnants.
- Le navigateur in-app : En 2022, le chercheur en sécurité Felix Krause a démontré que TikTok injectait du code JavaScript arbitraire dans chaque page web consultée via son navigateur intégré. Ce mécanisme permet techniquement de tracer les frappes au clavier (keystroke logging) et les clics sur les liens externes, même si l éditeur a affirmé ne l utiliser que pour du débogage et de la mesure de performance.
- Les trackers tiers : Même sans compte, le SDK TikTok intégré sur des milliers de sites tiers via le Pixel TikTok renvoie des informations de conversion vers les serveurs de la régie publicitaire. La CNIL a d ailleurs sanctionné TikTok à hauteur de 5 millions d euros en janvier 2023 pour des manquements relatifs aux mécanismes de refus des cookies sur son site web.
2. La vraie menace : profilage comportemental et métadonnées
Vous n avez pas besoin de donner votre nom complet pour être profilé à 100 %. La force de frappe de ByteDance réside dans l analyse comportementale passive. Chaque micro-seconde passée sur une vidéo, chaque relecture, chaque accélération de défilement alimente un graphe de dépendance et de centres d intérêt extrêmement fin.
Ce profilage ne reste pas cantonné à vos goûts musicaux. Il permet de déduire des orientations politiques, des vulnérabilités psychologiques, des croyances religieuses ou des pathologies médicales sans que vous n ayez jamais saisi le moindre mot-clé dans la barre de recherche. L accumulation de ces métadonnées représente un risque d ingérence informationnelle documenté par de multiples rapports parlementaires occidentaux.
3. Reprendre la main : verrouiller l application
Si vous refusez de désinstaller l application, il existe des contre-mesures techniques concrètes pour limiter la casse. Voici la marche à suivre immédiate :
- Désactiver le navigateur in-app : Dès qu un lien s ouvre dans TikTok, forcez l ouverture dans votre navigateur par défaut durci (Firefox avec extensions ou Brave). Ne saisissez jamais de mot de passe ni de coordonnées bancaires dans l interface web de TikTok.
- Dépouiller les permissions : Coupez l accès aux contacts, au calendrier, au microphone et à la caméra lorsqu ils ne sont pas activement sollicités. Refusez catégoriquement la géolocalisation précise : l application fonctionne parfaitement sans connaître vos coordonnées GPS exactes.
- Filtrer les requêtes DNS : Utilisez un résolveur DNS menteur comme NextDNS, AdGuard Home ou un serveur Pi-hole sur votre réseau local. En bloquant les domaines de télémétrie publicitaire de ByteDance (notamment les endpoints liés à byteoversea.com ou ibytedtos.com), vous réduisez le flux de données résiduelles.
- Segmenter l environnement : Sur Android, utilisez des outils d isolation comme Shelter ou Island (basés sur les profils professionnels Work Profile d Android) pour confiner TikTok dans un bac à sable hermétique, empêchant l accès à vos photos personnelles et à votre carnet d adresses.
4. L alternative radicale : le conteneur ou le web
Pour les utilisateurs qui souhaitent uniquement consulter du contenu ponctuellement sans subir l instrumentation du binaire officiel, la solution la plus propre reste de contourner l application native :
- La Progressive Web App (PWA) : Consultez TikTok via un navigateur doté d uBlock Origin en mode conteneur isolé (Multi-Account Containers sur Firefox). Le bac à sable du navigateur bride drastiquement la collecte d empreinte matérielle par rapport à une application native compilée.
- Frontend alternatif : Pour les flux vidéo, des passerelles tierces et des scrapers open source permettent de visionner des vidéos sans exécuter le code propriétaire de ByteDance sur votre système d exploitation.
Les erreurs à éviter
Ne tombez pas dans ces pièges classiques de faux sentiment de sécurité :
- Penser qu un compte anonyme protège : Créer un compte avec un pseudonyme fantaisiste ne sert à rien si l identifiant unique de votre smartphone, votre adresse IP et vos schémas de navigation restent identiques. L association est immédiate.
- Faire confiance au mode sans connexion : Même sans vous authentifier, TikTok génère un identifiant de session persistant basé sur votre empreinte matérielle et suit votre parcours.
- Utiliser TikTok sur un terminal professionnel : Les directives émises par l ANSSI et la Commission européenne interdisent formellement l application sur les appareils des agents publics pour des raisons d étanchéité des données sensibles. Appliquez cette règle de bon sens à votre propre environnement de travail.
Notre verdict
TikTok n est ni un spyware militaire secret indétectable par Wireshark, ni un gentil réseau social inoffensif. C est une machine publicitaire et comportementale redoutablement optimisée, soumise aux contraintes politiques d un régime autoritaire. Une action aujourd hui : rendez-vous dans les réglages système de votre téléphone, révoquez définitivement l accès de TikTok à vos contacts et à votre géolocalisation précise, puis installez NextDNS pour bloquer les requêtes de traçage superflues.
Sources et références
- Citizen Lab (Université de Toronto) : rapport d audit technique sur les applications TikTok et Douyin (2021).
- Felix Krause : recherche technique sur l injection de JavaScript dans le navigateur in-app d iOS (2022).
- CNIL (Commission Nationale de l Informatique et des Libertés) : délibération de sanction n° SAN-2022-027 concernant TikTok (janvier 2023).
- ANSSI (Agence nationale de la sécurité des systèmes d information) : recommandations sur l usage des applications récréatives sur les terminaux professionnels.
