Jour J pour StopCovid : quatre choses à savoir sur l'application de "traçage"

C’est le jour J pour StopCovid. Cette application, développée par le gouvernement, doit permettre de tracer les contacts avec des malades du coronavirus, grâce à notre téléphone. Elle a été approuvée par le Parlement cette semaine et mardi, jour de début de la phase 2 du déconfinement, là voilà enfin disponible. Vous pouvez la télécharger gratuitement sur votre téléphone. Europe 1 l'a testée pendant quelques jours : voilà tout ce qu'il faut savoir sur StopCovid.

L'application est-elle obligatoire ?

Non. StopCovid est fonctionne entièrement sur le principe du volontariat. Si vous ne voulez pas l’installer, rien ne vous y oblige, il n'y a pas de sanction. Et inversement, il n'y a aucune incitation positive, aucun avantage à la télécharger. Le libre choix d'utiliser ou non l'application était d'ailleurs l'un des impératifs demandés par la Cnil, qui a donc donné son feu vert à StopCovid.

Comment fonctionne StopCovid ?

L’application utilise le bluetooth pour repérer les autres utilisateurs à proximité. Si vous vous retrouvez en contact, à moins d’un mètre et pendant plus de 15 minutes, avec une personne malade ayant aussi installé StopCovid, vous recevrez en moins de 24 heures une notification vous invitant à vous isoler et à vous faire tester. "Le bluetooth a l'avantage de fonctionner aussi dans les endroits sans borne téléphonique, en 'zone blanche'", souligne le secrétaire d'État au Numérique Cédric O, sur Europe 1. 

Chaque contact avec un autre utilisateur est enregistré sous la forme d'un échange d'identifiants chiffrés. Chaque téléphone est doté de son propre identifiant, une suite de chiffres et de lettres générée aléatoirement et renouvelée régulièrement. Il n'y a donc pas d'échange de nom. L'application doit se révéler utile dans les lieux bondés, comme les transports et les lieux publics. "Si vous croisez dans un bar ou dans un restaurant une personne qui a été testée positive, personne ne peut vous prévenir… sauf l'application", argumente Cédric O. 

À quoi ressemble l'application ?

StopCovid a été conçue pour être utilisée par le plus de monde possible, y compris les moins technophiles. Lunabee Studio, la société qui a développé l'application, a donc opté pour une interface extrêmement simple. À la première ouverture, vous découvrez une page d'information sur les données stockées et l'usage qui en est fait. Puis, on vous demande l'accès au bluetooth. Il faut l'autoriser, sinon l'application ne peut pas fonctionner.

Sur la page d’accueil, vous avez juste à cliquer sur "J’active StopCovid" pour la mettre en marche. Vous pouvez changez d'application, passer des coups de fil : tant que le bluetooth reste activé, elle tourne en arrière-plan. En un clic sur le même bouton, vous pouvez la désactiver. Cela permet ainsi d'économiser la batterie même si, d'après nos constations, l'usage permanent du bluetooth n'est pas très énergivore.

Si vous n’avez pas été malade, et c’est le cas de la majorité des gens, ça s’arrête là. En revanche, si vous avez eu le coronavirus, il faut se signaler dans l’onglet "Me déclarer". Tout est anonyme, vous n’avez pas besoin de donner votre nom, juste un code fourni par le médecin ou le laboratoire qui vous a testé. 

L'application est-elle sécurisée ?

Ayant décidé de se passer de l'aide de Google et Apple, le gouvernement français a fait face à un défi inédit en termes de sécurité. Acteurs publics et privés ont donc été mobilisés pour faire en sorte que StopCovid résiste à des tentatives de piratage. "C'est plutôt du bon travail. J'ai inspecté des centaines, voire des milliers d'applications et on peut dire que le code est de bonne qualité", explique à Europe 1 Baptiste Robert, chercheur en cybersécurité et "hacker éthique" qui a éprouvé l'application.

Selon lui, sa force réside dans sa simplicité. "Elle n'offre pas beaucoup de fonctionnalités à l'utilisateur. Il n'y a qu'un endroit où entrer du texte et rien qui la relie à l'intégrité du téléphone. Un attaquant ne va probablement pas réussir à pirater l'intégralité du téléphone de l'utilisateur en passant par StopCovid", estime ce spécialiste. Malgré tout, lui et d'autres hackers ayant participé à une "chasse au bug" organisée par le gouvernement ont trouvé "des failles de sécurité plus ou moins graves". Signalées aux développeurs, elles doivent être traitées.

Quant à la question d'une "surveillance cachée" évoquée par des détracteurs de l'application, rien n'indique que ce soit le cas. D'abord, StopCovid n'utilise pas la géolocalisation, elle ne peut donc pas suivre vos déplacements. Elle n'a pas non plus accès à vos contacts. "La seule chose qui est enregistrée dans votre téléphone, c'est votre historique de rencontre, les téléphones, sous forme de codes, que vous avez croisés. Et personne n'a accès à cette liste, ni vous, ni l'État, ni personne", assure Cédric O. Et ces données sont automatiquement supprimées tous les 15 jours.