EXIT CHAT CONTROL_

PARTIE 00 · LE POURQUOI

Comprendre la menace

Avant de changer d’outils, il faut comprendre ce contre quoi on se protège. Sinon, on installe des applications au hasard et on se croit protégé alors qu’on ne l’est pas.

Chat Control 1.0 et 2.0, en clair

« Chat Control » est le surnom donné à deux textes européens qui autorisent (ou imposeraient) le scan de vos messages privés à la recherche de contenus pédocriminels (CSAM). L’objectif affiché est légitime ; le moyen employé, le scan généralisé des communications de personnes non suspectes, revient à une surveillance de masse.

Le scan côté client : le mouchard légal

Le cœur de Chat Control 2.0 est une technique appelée scan côté client (client-side scanning). L’idée : au lieu de casser le chiffrement pendant le transport, on installe un logiciel directement sur votre téléphone qui inspecte chaque message, photo ou lien avant qu’il ne soit chiffré et envoyé. Signal résume ça d’une phrase : c’est « comme un malware sur votre appareil ».

Le prétexte : « protéger les enfants »

Personne n’est contre la protection des mineurs, et c’est précisément ce qui en fait un levier si efficace. La lutte contre la pédocriminalité sert de cheval de Troie émotionnel : qui oserait s’y opposer ? Sous cette bannière, on fait accepter un principe qui, présenté seul, serait rejeté en bloc, l’inspection automatisée des communications privées de centaines de millions de personnes non suspectes. Les enfants sont le motif affiché ; la cible réelle, c’est le chiffrement et la vie privée de tous.

Le plus révélateur : les entreprises qui poussent le plus fort pour ce scan sont celles dont le modèle économique est la surveillance. Le 19 mars 2026, un appel commun a exhorté les législateurs européens à pérenniser la détection « volontaire », signé par :

« Ne pas agir serait irresponsable. » L’argument des géants de la tech pour maintenir le scan des messages.

Ces mêmes acteurs ont d’ailleurs annoncé vouloir continuer à scanner les messages même après l’expiration de la base légale, le 4 avril 2026. On demande donc aux citoyens de confier l’inspection de leurs conversations intimes aux entreprises précisément connues pour aspirer et monétiser leurs données. Voilà le vrai visage de Chat Control : une attaque contre la vie privée emballée dans un motif que personne ne peut refuser.

Ce n’est pas « juste » de la surveillance

On cherche à vous rassurer : « ce n’est que Gmail, Instagram, Snapchat, Messenger ». C’est faux, et c’est même le plus scandaleux. Trois basculements se cachent derrière cette minimisation.

1. Ce n’est pas du ciblage, c’est du ratissage. On ne surveille pas des suspects : on installe une collecte systématique des communications de populations entières. C’est de la surveillance à l’échelle étatique, en continu.
2. Ce n’est plus lire, c’est pouvoir bloquer. Un logiciel qui inspecte un message avant son envoi peut aussi refuser de l’envoyer. Le scan côté client crée l’infrastructure de la censure préalable : bloquer une parole avant même qu’elle existe pour son destinataire.
3. Une fois l’infrastructure posée, elle sert à autre chose. Un dispositif construit « pour les enfants » devient un outil polyvalent de contrôle. Le motif change, la machine reste.

À quel profil appartenez-vous ?

Aucun outil n’est magique et personne n’a besoin de tout faire. Repérez votre profil : chaque section indiquera jusqu’où aller.

PARTIE 01 · MÉMO · LE GRAND REMPLACEMENT NUMÉRIQUE

À supprimer / À adopter

La vue d’ensemble en un coup d’œil. Le détail de chaque outil suit dans les sections numérotées.

PARTIE 02 · LES FONDATIONS · 🟢

Messagerie chiffrée

Le premier geste, celui qui protège le plus vite : quitter WhatsApp, Messenger et Telegram pour une messagerie réellement chiffrée et, idéalement, libre.

PARTIE 03 · 🟢

E-mail chiffré & PGP

Gmail lit vos e-mails et vit aux États-Unis, sous la juridiction des « Five Eyes ». Quitter Gmail/Outlook est un gain énorme pour un effort minime.

PGP en une minute

PGP (Pretty Good Privacy) est le principe du chiffrement à clés : vous avez une clé publique que vous distribuez, et une clé privée que vous gardez secrète. Quiconque a votre clé publique peut vous écrire un message que vous seul pouvez déchiffrer. C’est la base de l’e-mail chiffré indépendamment de tout fournisseur. Proton Mail le gère automatiquement ; pour un usage manuel, on utilise OpenPGP (via Thunderbird, intégré depuis la version 78).

PARTIE 04 · 🟢

Navigateur & recherche

Chrome est un mouchard publicitaire. Google Search profile chaque requête. On remplace les deux.

PARTIE 05 · RÉSEAU · DNS · 🟡

DNS chiffré & Cloudflare

Le DNS, c’est l’annuaire qui traduit un nom de site (exemple.com) en adresse machine. Problème : par défaut, c’est votre fournisseur d’accès qui gère cet annuaire, et il voit donc chaque site que vous visitez, même quand la page est en HTTPS. Chiffrer son DNS, c’est reprendre cette liste à son FAI. C’est un réglage discret mais parmi les plus efficaces.

PARTIE 06 · 🟢

VPN : la vérité

Un VPN est utile, mais vendu avec beaucoup de mensonges. Voici ce qu’il protège vraiment.

PARTIE 07 · CENSURE · IDENTITÉ NUMÉRIQUE · 🟡

Censure & vérification d’identité

Le même prétexte (« protéger les mineurs ») sert à imposer la vérification d’identité pour accéder à Internet. C’est la fin programmée de l’anonymat en ligne, donc une forme de censure. Voici l’état des lieux, puis comment y échapper légalement.

Où en est-on (2025-2026)

• France. La loi SREN (mai 2024) confie à l’Arcom la vérification d’âge ; depuis avril 2025, les sites concernés doivent la mettre en place. Un décret imposant la vérification d’âge a été validé par le Conseil d’État le 15 juillet 2025, et une proposition interdisant les réseaux sociaux aux moins de 15 ans a été votée à l’Assemblée le 26 janvier 2026, ce qui suppose de vérifier l’âge, donc l’identité, de tout le monde.
• Royaume-Uni. Depuis le 25 juillet 2025, l’Online Safety Act impose une vérification d’âge « hautement efficace » (pièce d’identité, carte bancaire, estimation faciale). Résultat immédiat : les inscriptions VPN ont bondi de plus de 1 400 % en quelques heures. La Chambre des Lords a même débattu, début 2026, d’un âge minimum pour utiliser un VPN.
• Union européenne. La Commission a présenté une application de vérification d’âge (avril 2025), pilotée dans cinq pays, pensée pour s’articuler avec le portefeuille d’identité numérique européen (EUDI Wallet, eIDAS 2) que chaque État doit proposer d’ici fin 2026. L’EFF et EDRi alertent : la preuve « à divulgation nulle » n’est qu’optionnelle, et cela construit une infrastructure d’identité en ligne bien au-delà de la protection de l’enfance.

Y échapper légalement

La parade tient en une idée : prendre une adresse IP dans un pays qui n’impose pas ces contrôles, et se procurer les outils de façon anonyme, même si un jour ils sont bloqués.

• Un VPN hors juridiction. Connectez-vous à un serveur situé hors du pays qui filtre (idéalement hors UE et hors « 14 Eyes »), avec une politique no-log auditée. C’est ce qui vous rend l’accès aux réseaux qui exigent une pièce d’identité.
• Un paiement anonyme. Payez le VPN en cryptomonnaie ou en espèces (Mullvad, IVPN, Proton l’acceptent). Crucial : si un jour les VPN sont « interdits », les processeurs de paiement pourraient refuser les cartes ; le cash et la crypto resteront les seuls moyens.
• Tor pour récupérer un VPN bloqué. Si le site du fournisseur devient inaccessible depuis votre pays, passez par le navigateur Tor (ou une adresse .onion) pour télécharger le client. Une fois installé, le VPN est bien plus rapide pour l’usage quotidien.
• Changer le pays du compte. Un compte Apple/Google réglé sur un autre pays fait réapparaître les applications retirées de votre magasin local.

PARTIE 08 · REPRENDRE LE CONTRÔLE · 🟡

Quitter Google

Google, c’est un compte unique qui connaît vos e-mails, votre agenda, vos fichiers, vos déplacements et vos recherches. On remplace la suite entière.

L’intérêt de Proton (Suisse, à but non lucratif via une fondation, open-source) : un seul compte remplace tout Google, avec chiffrement de bout en bout et une juridiction hors « Five Eyes ». On peut migrer progressivement, service par service. Pour qui préfère éviter de recentraliser chez un seul acteur, chaque ligne du tableau a une alternative indépendante.

PARTIE 09 · 🟡

Stockage chiffré

PARTIE 10 · 🟡

Gestionnaire de mots de passe

Un mot de passe unique et fort par service : c’est la base de toute la sécurité qui suit. Arrêtez le carnet, arrêtez le même mot de passe partout.

PARTIE 11 · SÉCURITÉ · 2FA · 🟡

Double authentification & clés matérielles

Un mot de passe, même fort, peut fuiter. La double authentification (2FA) ajoute une seconde preuve à la connexion : même si votre mot de passe est volé, le compte reste fermé. C’est indispensable sur vos comptes sensibles (e-mail, gestionnaire de mots de passe, réseaux).

PARTIE 12 · 🟡

Réseaux sociaux décentralisés

Instagram, X et Facebook appartiennent à des entreprises qui vous profilent et peuvent vous censurer ou vous supprimer du jour au lendemain. Le « fédiverse » propose des réseaux appartenant à leurs utilisateurs.

PARTIE 13 · 🟡

Souveraineté financière

L’argent aussi est surveillé et censurable. Des comptes de militants ont été gelés, des dons bloqués, chaque paiement par carte est tracé. La vie privée financière fait partie de la souveraineté.

PARTIE 14 · ANGLE MORT · LA FOLIE DE L’IA · 🟡

L’IA conversationnelle

Pendant qu’on se bat pour chiffrer nos messages, des centaines de millions de gens confient leurs pensées les plus intimes à ChatGPT, Gemini ou Copilot, sur des serveurs américains. C’est l’angle mort de toute cette histoire. Une pure folie.

Ce que vous tapez dans une IA cloud est une confession écrite, horodatée et stockée. Pire qu’un message : vous y déballez vos angoisses, votre santé, vos finances, vos secrets professionnels, souvent plus honnêtement qu’à un proche. Et contrairement à une messagerie chiffrée, tout est lisible en clair côté serveur.

La parade : l’IA locale

PARTIE 15 · REMPLACER LE RESTE · 🟡

La boîte à outils du quotidien

Google et Apple ne sont pas que des e-mails : cartes, notes, agenda, photos, visio, tout est relié à votre identité. Voici de quoi remplacer chaque brique, une par une, sans rien perdre en confort.

PARTIE 16 · AUTODÉFENSE AVANCÉE · 🔴

Auto-hébergement

Le niveau ultime de souveraineté : héberger vos services vous-même. Vos données vivent sur votre matériel, sous la juridiction que vous choisissez.

PARTIE 17 · 🔴

Tor

Le réseau qui sépare qui vous êtes de ce que vous faites en ligne.

PARTIE 18 · 🔴

Systèmes d’exploitation libres

La pièce maîtresse. Si le scan côté client peut être imposé par le système d’exploitation lui-même, la seule vraie parade est de contrôler cet OS. C’est vrai sur le téléphone (GrapheneOS) comme sur l’ordinateur (Linux). Ne sous-estimez pas ce point : tant que vous restez sous Windows, macOS ou un Android Google, vous ne contrôlez pas vraiment votre machine.

Durcir l’appareil

Sans changer d’OS, on gagne déjà beaucoup : installer les applications via F-Droid (magasin libre) ou Aurora Store, remplacer les services Google par microG, créer des profils séparés, couper les permissions réseau inutiles, désactiver la sauvegarde cloud automatique et l’identifiant publicitaire.

PARTIE 19 · MATÉRIEL · 🔴

Téléphonie & appareil physique

La meilleure application ne sert à rien si l’appareil lui-même vous trahit. Voici les menaces matérielles et les gestes qui les neutralisent.

Le numéro de téléphone est un traceur

Votre numéro relie entre eux votre carte SIM, votre appareil (son identifiant IMEI), votre localisation et votre identité (la plupart des pays exigent une pièce d’identité à l’achat d’une SIM). C’est le fil qui permet de tout recouper.

• Utilisez des messageries sans numéro (SimpleX, Session) pour vos contacts sensibles, et préférez toujours Signal au SMS.
• Pour une identité séparée, une carte SIM « data uniquement » ou une eSIM prépayée limite le lien au point de vente (à vérifier selon les pays).

IMSI-catchers & réseau téléphonique

Les « IMSI-catchers » (ou « stingrays ») sont de fausses antennes-relais qui forcent les téléphones à s’y connecter pour enregistrer leur identifiant et parfois intercepter les communications, souvent en rétrogradant vers la 2G, peu chiffrée. En parallèle, une faille ancienne du réseau (SS7) permet encore d’intercepter des SMS et de localiser un téléphone à distance : une raison de plus d’abandonner le SMS.

• Désactivez la 2G dans les réglages (possible sur Android et GrapheneOS) pour couper le principal vecteur d’interception.
• En manifestation ou en zone sensible, passez en mode avion ou glissez le téléphone dans un sac de Faraday (qui bloque tout signal). L’EFF publie même un outil libre, Rayhunter, pour détecter les IMSI-catchers.

Biométrie ou code ?

Dé-Microsoft, dé-Apple

N’oubliez pas l’ordinateur : Windows transmet en continu de la télémétrie (et sa fonction « Recall » a voulu photographier l’écran en permanence), macOS signale les applications que vous lancez. La vraie sortie, c’est Linux (voir section 12). À défaut, désactivez la télémétrie, l’identifiant publicitaire et « Recall », et ajoutez un pare-feu sortant (comme Little Snitch sur Mac).

PARTIE 20 · 🔴

Anonymat & OPSEC

Pour le compte pseudonyme et le lanceur d’alerte. Ici, on ne protège plus seulement un message : on protège une identité.

Pseudonymat contre anonymat

La règle d’or : ne jamais croiser votre identité réelle et votre identité publique. Pas le même e-mail, pas le même numéro, pas le même appareil, pas le même réseau, pas les mêmes horaires, pas le même style d’écriture. Une seule fuite suffit à relier les deux.

• Comptes sans identité : SimpleX et Session ne demandent aucun numéro ; associez-les à des alias e-mail jetables. Méfiez-vous des « numéros virtuels » revendus et traçables.
• Nettoyer les métadonnées : une photo publiée contient souvent la date, le modèle d’appareil et parfois les coordonnées GPS (données EXIF). Nettoyez avec Metadata Cleaner, mat2 ou ExifTool avant de publier ; attention aussi aux noms de fichiers et aux métadonnées de documents.
• Anti-corrélation réseau : utilisez Tor/Tails pour dissocier votre activité de votre IP domestique. Ne mélangez jamais réseau personnel et réseau pseudonyme. Une carte SIM à votre nom trahit votre localisation, peu importe le reste.
• Cloisonnement : un appareil ou au moins un profil dédié à l’identité publique, un gestionnaire de mots de passe séparé, jamais de connexion croisée entre les deux mondes.

Transmettre des documents en tant que source

SecureDrop est le système de dépôt anonyme utilisé par de nombreuses rédactions pour recevoir des documents de sources. Beaucoup de journaux publient aussi une clé PGP et un contact Signal. Ne transmettez jamais depuis votre matériel professionnel ni votre réseau habituel.

PARTIE 21 · POUR ALLER PLUS LOIN

L’écosystème libre complet

Se dégoogliser à fond, c’est remplacer chaque brique par un équivalent libre. La logique commune (logiciel libre + contrôle de son appareil + auto-hébergement) est la vraie parade au scan côté client.

PARTIE 22 · PASSER À L’ACTION

Migration & désobéissance civile numérique

Un plan progressif

1. Semaine 1 🟢 : Installez Signal et faites-y venir vos proches. Passez à Proton Mail ou Tuta. Installez un gestionnaire de mots de passe et uBlock Origin.
2. Semaine 2 🟡 : Migrez vos fichiers vers un cloud chiffré, remplacez Chrome/Google Search, prenez un VPN, créez un compte Mastodon.
3. Ensuite 🔴 : Selon votre profil : GrapheneOS, Tor/Tails, auto-hébergement, discipline OPSEC.

PARTIE 23 · LES PREUVES

Trente ans de précédents

À chaque génération, on jure que la surveillance est nouvelle, limitée et temporaire. Daté et sourcé : le même scénario depuis 1993. Cliquez une date pour citer une entrée.

1. 1993la promesse

   Le Clipper Chip

   La NSA propose une puce de chiffrement avec clé en dépôt pour l’État, « uniquement pour la police, sous mandat ». Failles techniques démontrées (Blaze, 1994), rejet massif : abandon en 1996. Première guerre de la crypto, même scénario qu’aujourd’hui.

   EPIC · Clipper Chip →

2. 2001-09-05révélé

   ECHELON confirmé par le Parlement européen

   Six jours avant le 11-Septembre, le Parlement européen adopte en plénière (367-159-39) le rapport de sa commission temporaire (approuvé en commission le 3 juillet) confirmant l’existence d’un réseau mondial d’interception des communications privées et commerciales (États-Unis, Royaume-Uni, Canada, Australie, Nouvelle-Zélande).

   European Parliament · A5-0264/2001 →

3. 2001-10-04la dérive

   23 jours après le 11-Septembre

   Un ordre secret du président Bush lance l’écoute domestique sans mandat de la NSA. La crise crée le programme ; le programme survit à la crise. Le Patriot Act suit le 26 octobre, « temporaire » lui aussi : ses clauses seront reconduites pendant 14 ans.

   EFF · NSA Spying Timeline →

4. 2006-01-20révélé

   Room 641A

   Le technicien AT&T Mark Klein apporte à l’EFF les plans de la salle secrète de la NSA dans le central de San Francisco : l’interception se fait au niveau de l’infrastructure, sur tout le trafic, pas sur des suspects.

   EFF · Jewel v. NSA evidence →

5. 2006-03-15la dérive

   Directive européenne de rétention des données

   L’UE impose la conservation des métadonnées télécoms de toute la population (6 à 24 mois), « contre le crime grave ». Personne n’est suspect, tout le monde est fiché. Le modèle exact de Chat Control, vingt ans plus tôt.

   Directive 2006/24/EC →

6. 2013-06-05révélé

   Snowden : « collect it all »

   Le Guardian publie l’ordre secret de la cour FISA obligeant Verizon à livrer les métadonnées de tous ses clients, puis PRISM. En mars, le directeur du renseignement Clapper avait juré au Congrès que non ; quelques jours après la fuite, il qualifiera sa réponse de « la moins mensongère possible ».

   The Guardian · 5 June 2013 →

7. 2014-04-08invalidé

   La CJUE annule la rétention généralisée

   Arrêt Digital Rights Ireland (affaires jointes C-293/12 et C-594/12) : la directive de 2006 est invalidée en bloc, la surveillance indiscriminée de toute la population viole la Charte des droits fondamentaux. Une ONG de quelques bénévoles a fait tomber une directive européenne.

   CJEU · C-293/12 & C-594/12 →

8. 2016-11-29la dérive

   Le « Snooper’s Charter » britannique

   L’Investigatory Powers Act légalise la collecte en masse et le piratage d’appareils par l’État, et oblige les FAI à conserver l’historique de navigation de chacun. Trois semaines plus tard, la CJUE (arrêt Tele2/Watson) redit que la rétention généralisée est illégale ; Londres la garde.

   legislation.gov.uk →

9. 2018-12-06la dérive

   L’Australie contre les mathématiques

   L’Assistance and Access Act permet d’ordonner secrètement à une entreprise de modifier ses produits (« technical capability notices ») : un affaiblissement du chiffrement de fait, alertent les critiques, même si la loi interdit formellement les « systemic weaknesses ». Le Premier ministre avait donné le ton : « les lois australiennes prévalent sur les lois des mathématiques ».

   legislation.gov.au · C2018A00148 →

10. 2020-02-11révélé

    Crypto AG : le vendeur de coffres avait les clés

    Le Washington Post révèle (histoire interne de la CIA à l’appui) que la CIA et le BND possédaient secrètement Crypto AG, le fournisseur suisse de machines de chiffrement de 120 gouvernements, depuis 1970. Dans les années 1980, 40 % des câbles diplomatiques décodés par la NSA passaient par ce canal. Morale : une porte dérobée « de confiance » est une porte dérobée.

    Washington Post · Operation Rubicon →

11. 2020-10-06invalidé

    La Quadrature du Net devant la CJUE

    La Cour confirme l’interdiction de la conservation généralisée pour la France et la Belgique (affaires jointes C-511/18, C-512/18 et C-520/18), et le même jour pour le Royaume-Uni dans l’arrêt Privacy International (C-623/17), tout en ouvrant des exceptions « sécurité nationale ». Leçon double : les recours marchent, et chaque exception devient la prochaine règle. La Commission n’a jamais ouvert d’infraction contre les États qui conservent quand même.

    CJEU · C-511/18, C-512/18 & C-520/18 →

12. 2021-07-14la promesse

    Chat Control 1.0, « temporaire »

    Le règlement 2021/1232 autorise le scan « volontaire » des messageries, par dérogation à ePrivacy. Clause d’extinction au 3 août 2024, promis. Le règlement 2024/1307 la prolonge jusqu’au 3 avril 2026, où elle expire… avant d’être ressuscitée (voir plus bas).

    Regulation (EU) 2021/1232 →

13. 2021-07-18révélé

    Projet Pegasus

    Plus de 80 journalistes de 17 rédactions dans 10 pays documentent l’espionnage de journalistes, d’avocats, d’opposants et de chefs d’État via le logiciel espion de NSO. La forensique d’Amnesty (revue par le Citizen Lab) prouve des infections « zéro clic » sur des iPhone à jour : quand l’appareil est visé, le chiffrement ne suffit plus. Exactement la logique du scan côté client.

    Amnesty · Forensic Methodology Report →

14. 2021-08-05invalidé

    Apple annonce le scan sur l’appareil… puis renonce

    Apple présente un scan CSAM des photos directement sur l’iPhone. Tollé des chercheurs et des ONG : c’est l’infrastructure d’une surveillance généralisable. Décembre 2022 : Apple abandonne, avant d’invoquer, dans une lettre d’août 2023, une « pente glissante de conséquences imprévues ». Le précédent technique que Chat Control 2.0 veut rendre obligatoire.

    WIRED · Apple kills CSAM scanning →

15. 2022-05-11la dérive

    Chat Control 2.0 : le scan obligatoire

    La Commission propose le règlement CSAR (COM/2022/209) : « ordres de détection » pouvant imposer le scan à toutes les plateformes, y compris chiffrées de bout en bout. Le volontaire de 2021 devient l’obligatoire de 2022 : la dérive au sens littéral.

    COM/2022/209 →

16. 2023-10-26la dérive

    Online Safety Act : la « spy clause »

    Le Royaume-Uni se dote du pouvoir d’ordonner aux messageries de scanner les contenus chiffrés (article 121). « Dès que techniquement faisable » n’est pas dans la loi : c’est une concession ministérielle, la déclaration de Lord Parkinson devant les Lords (6 septembre 2023), après les menaces de départ de Signal et WhatsApp. Le gouvernement admet que ce n’est pas faisable, mais garde le pouvoir dans la loi.

    Online Safety Act 2023 · s.121 →

17. 2024-04-29la dérive

    Le « temporaire » prolongé une première fois

    Le règlement 2024/1307 repousse l’extinction de Chat Control 1.0 du 3 août 2024 au 3 avril 2026. Un dispositif d’exception qui se renouvelle n’est plus une exception : c’est un régime.

    Regulation (EU) 2024/1307 →

18. 2025-07-25la dérive

    Royaume-Uni : une pièce d’identité pour Internet

    L’Online Safety Act impose la vérification d’âge « hautement efficace » (pièce d’identité, carte bancaire, reconnaissance faciale) pour l’accès à des pans entiers du web. Proton mesure des inscriptions VPN horaires en hausse de plus de 1 400 % ; les Lords discutent déjà d’encadrer les VPN.

    Ofcom · age assurance →

19. 2025-11-13la dérive

    Le Conseil veut supprimer la clause d’extinction

    Position du Conseil pour les trilogues CSAR (doc. 15318/25) : supprimer purement et simplement la clause d’extinction du scan « volontaire », autrement dit le rendre permanent. Le projet de la présidence danoise envisageait le scan côté client obligatoire. En février 2026, l’EDPS répond à la proposition de décembre de la Commission de prolonger la dérogation jusqu’en 2028 (COM(2025) 797) : dégradation substantielle de la confidentialité, analyse indiscriminée disproportionnée.

    EDPS · Opinion 7/2026 →

20. 2026-03-26invalidé

    Le Parlement dit non

    Le Parlement européen rejette la prolongation du scan volontaire jusqu’en 2028 (228 pour, 311 contre, 92 abstentions). Conséquence : la base légale expire le 3 avril 2026. La pression citoyenne et le travail des ONG ont tenu. Pendant trois mois.

    European Parliament · 26 March 2026 →

21. 2026-04-04révélé

    La loi expire, le scan continue

    La dérogation expirée, les géants signataires de l’appel commun du 19 mars pour pérenniser le dispositif (Google, Meta, Microsoft, Snap, TikTok) annoncent qu’ils continueront de scanner les messages, base légale ou pas. L’aveu que la « conformité » était un décor.

    The Record · Big Tech vows to keep scanning →

22. 2026-07-02la dérive

    Le Conseil ressuscite le texte expiré

    Trois mois après l’expiration, le Conseil adopte sa position pour rétablir le scan volontaire jusqu’au 3 avril 2028, envoyée au Parlement en seconde lecture : la procédure où le rejet exige une majorité absolue (361 voix sur 720), pas une majorité des votants.

    Council of the EU · 2 July 2026 →

23. 2026-07-09invalidé

    Le rejet échoue, mais le chiffrement est exclu

    Procédure d’urgence votée le 7 juillet (331/304/11), vote le 9 : 314 eurodéputés votent le rejet de la position du Conseil : une majorité simple, loin des 361 voix requises. Mais le Parlement adopte ensuite les amendements excluant les communications chiffrées de bout en bout du dispositif (369 et 362 voix), et l’ultime tentative de rejeter la position amendée échoue aussi (276/286/30). Le texte amendé retourne au Conseil, qui a environ trois mois (jusqu’aux alentours du 9 octobre 2026) pour accepter les amendements (scan volontaire des services non chiffrés de bout en bout jusqu’au 3 avril 2028) ou ouvrir une conciliation. Au 10 juillet 2026, rien n’est en vigueur : la dérogation expirée le 3 avril n’a jamais été ravivée (détail des votes).

    European Parliament · 9 July 2026 →

PARTIE 24 · LA DÉRIVE EN DIRECT

Observatoire Big Brother

Chat Control n'est qu'un front parmi cinq. Ce qui est passé, ce qui est sur la table, ce qui a été repoussé, région par région, thème par thème.

PARTIE 25 · VOUS N'ÊTES PAS SEUL

Initiatives alliées

Les organisations qui mènent ce combat devant les tribunaux et les parlements, et les projets qui gardent les preuves.

Campagnes & plaidoyer

• Fight Chat Controlfightchatcontrol.eu

  Plateforme citoyenne (collectif anonyme) : outil de contact des eurodéputés, suivi des positions par État membre, comparatif 1.0 vs 2.0. Relancée pour chaque vote.

• Stop Scanning Me · EDRistopscanningme.eu

  Coalition de 60+ organisations : pétition à 200 000+ signatures, lettre ouverte passée de 300 à 450 scientifiques, lettre commune de 133 ONG.

• Patrick Breyer · chatcontrol.eupatrick-breyer.de

  L’ex-eurodéputé Pirate qui a nommé « Chat Control ». La chronique de référence du dossier, vote par vote, document par document, depuis 2020.

• EDRiedri.org

  Le réseau européen des droits numériques (50+ ONG). Analyses juridiques, plaidoyer à Bruxelles, coordination des campagnes.

• La Quadrature du Netlaquadrature.net

  Depuis 2008 : recours devant la CJUE (arrêt de 2020 sur la rétention), campagne Technopolice, analyses des lois françaises de surveillance.

• noybnoyb.eu

  L’ONG de Max Schrems : le contentieux RGPD systématique qui a fait tomber deux accords de transfert UE-US (Schrems I et II).

• EFFeff.org

  Trente ans de contentieux et d’outils (Jewel v. NSA, Certbot, Privacy Badger, Rayhunter) et le guide Surveillance Self-Defense.

• Signal Foundationsignal.org

  A promis de quitter l’UE plutôt que d’installer un scan. Meta/WhatsApp (oct. 2025) et Threema (« toutes les options ») ont suivi sur l’opposition.

Projets de documentation

• EFF · NSA Spying Timelinensa-timeline.eff.org

  Chronologie 1791-2015 de la surveillance américaine, bâtie sur les preuves du procès Jewel v. NSA : chaque entrée datée et sourcée. Le modèle « receipts » dont s’inspire notre section Précédents.

• Atlas of Surveillanceatlasofsurveillance.org

  14 900+ déploiements policiers documentés dans 6 000+ juridictions US (drones, reconnaissance faciale, IMSI-catchers…), compilés par 1 000+ étudiants et bénévoles. Cartographique plutôt que chronologique.

• Technopolicetechnopolice.fr

  Campagne de La Quadrature (2019) qui documente la « Safe City » ville par ville, entreprise par entreprise : marchés publics, forum participatif, canal de fuites.

• OONIooni.org

  Le plus grand jeu de données ouvert sur la censure d’Internet : des millions de mesures depuis 2012, 200+ pays, données CC et API publique. La censure, prouvée en temps réel.

• Digital Violence · Forensic Architectureforensic-architecture.org

  La cartographie interactive de l’écosystème Pegasus/NSO : licences d’export, infections, et les conséquences physiques pour les personnes visées.

• Surveillance Watchsurveillancewatch.io

  Cartographie interactive de l’industrie du logiciel espion : qui fabrique, qui finance, qui achète.

• NetBlocksnetblocks.org

  Observatoire en temps réel des coupures d’Internet et des blocages, pays par pays, incident par incident.

• Big Brother Awardsbigbrotherawards.de

  Depuis 2000, le « prix » annuel des pires atteintes à la vie privée (éditions dans plusieurs pays) : une chronique par l’exemple, année après année.

PARTIE 26 · L'ARSENAL

Annuaire open source

66 logiciels libres en 14 catégories. Chaque entrée est open source : du code vérifiable, pas de la bonne volonté.

Messagerie

• SignalAGPL-3.0

  Remplace WhatsApp. E2EE par défaut, fondation à but non lucratif.

• SimpleX ChatAGPL-3.0

  Sans aucun identifiant : même les serveurs ignorent qui parle à qui.

• SessionGPL-3.0

  Sans numéro, routage en oignon.

• Element · MatrixAGPL-3.0

  Remplace Discord/Slack. Fédéré, auto-hébergeable.

• BriarGPL-3.0

  P2P sans internet (Bluetooth/Tor) : manifestations, blackout.

• MollyGPL-3.0

  Signal durci pour Android (variante 100 % FOSS).

E-mail

• ThunderbirdMPL-2.0

  Le client mail libre de référence, OpenPGP intégré.

• Proton Mail (apps)GPL-3.0

  Applications open source du service chiffré suisse.

• Tuta (apps)GPL-3.0

  Applications libres, chiffrement post-quantique, juridiction UE.

Navigation & recherche

• FirefoxMPL-2.0

  Remplace Chrome. Le moteur indépendant.

• Tor BrowserMPL-2.0

  Anonymat réseau, anti-empreinte.

• Mullvad BrowserMPL-2.0

  Le navigateur du Tor Project, sans le réseau Tor.

• BraveMPL-2.0

  Chromium qui bloque pubs et traqueurs par défaut.

• uBlock OriginGPL-3.0

  LE bloqueur de pubs et traqueurs.

• SearXNGAGPL-3.0

  Métamoteur de recherche auto-hébergeable.

VPN & réseau

• WireGuardGPL-2.0

  Le protocole VPN moderne que tout le monde utilise.

• Mullvad VPN (app)GPL-3.0

  Client du VPN sans compte (cash/Monero acceptés).

• Proton VPN (apps)GPL-3.0

  Clients libres, offre gratuite honnête.

• TorBSD-3-Clause

  Le réseau qui sépare qui vous êtes de ce que vous faites.

• TailscaleBSD-3-Clause

  Réseau privé WireGuard entre vos appareils.

• HeadscaleBSD-3-Clause

  Le serveur de coordination Tailscale, chez vous.

DNS

• Pi-holeEUPL-1.2

  Bloque pubs et traqueurs pour tout le réseau.

• AdGuard HomeGPL-3.0

  Alternative à Pi-hole, interface moderne.

Mots de passe & 2FA

• BitwardenGPL-3.0

  Gestionnaire de mots de passe multiplateforme.

• VaultwardenAGPL-3.0

  Serveur Bitwarden léger à auto-héberger.

• KeePassXCGPL-2.0/3.0

  Coffre 100 % local, zéro cloud.

• AegisGPL-3.0

  Codes 2FA (TOTP) en coffre chiffré local (Android).

• Ente AuthAGPL-3.0

  2FA avec synchronisation chiffrée de bout en bout.

Stockage, photos & sauvegardes

• NextcloudAGPL-3.0

  Remplace toute la suite Google, chez vous.

• CryptomatorGPL-3.0

  Chiffre vos fichiers AVANT tout cloud.

• SyncthingMPL-2.0

  Synchronisation d’appareil à appareil, sans serveur.

• resticBSD-2-Clause

  Sauvegardes chiffrées, dédupliquées, automatiques.

• ImmichAGPL-3.0

  Google Photos auto-hébergé (visages, recherche).

• Ente PhotosAGPL-3.0

  Photos E2EE, reconnaissance sur l’appareil.

Au quotidien

• LibreOfficeMPL-2.0

  La suite bureautique libre.

• OnlyOfficeAGPL-3.0

  Bureautique collaborative auto-hébergeable.

• JoplinAGPL-3.0

  Notes Markdown, chiffrement et sync au choix.

• Standard NotesAGPL-3.0

  Notes chiffrées par défaut.

• CryptPadAGPL-3.0

  Google Docs collaboratif, entièrement chiffré.

• Organic MapsApache-2.0

  Cartes hors-ligne sans traçage (OpenStreetMap).

• OsmAndGPL-3.0

  Cartes avancées (rando, courbes de niveau).

• Jitsi MeetApache-2.0

  Visio sans compte, auto-hébergeable.

Réseaux sociaux

• MastodonAGPL-3.0

  Remplace X/Twitter. Fédéré, sans algorithme imposé.

• PixelfedAGPL-3.0

  L’Instagram du fédiverse.

• PeerTubeAGPL-3.0

  Le YouTube fédéré.

• LemmyAGPL-3.0

  Le Reddit fédéré.

• Damus (Nostr)GPL-3.0

  Client Nostr : votre identité est une paire de clés.

IA locale & agentique

• OllamaMIT

  Faire tourner des LLM en local, en une commande.

• llama.cppMIT

  Le moteur d’inférence local qui a tout rendu possible.

• JanAGPL-3.0

  ChatGPT-like 100 % local, interface simple.

• GPT4AllMIT

  LLM locaux orientés vie privée, sur CPU.

• PocketPal AIMIT

  Des LLM hors ligne sur votre téléphone (iOS/Android), sans compte.

Systèmes d'exploitation

• GrapheneOSMIT

  Android dégooglisé et durci (Pixel).

• TailsGPL-3.0

  OS amnésique sur clé USB, tout via Tor.

• Qubes OSGPL-2.0

  Cloisonnement par machines virtuelles étanches.

• F-DroidGPL-3.0

  Le magasin d’applications 100 % libres.

• postmarketOSGPL-3.0

  Linux sur les téléphones abandonnés.

Auto-hébergement

• YunoHostAGPL-3.0

  Serveur personnel clé en main (mail inclus).

• StartOS (Start9)MIT

  Serveur souverain, Tor par défaut.

• Synapse (Matrix)AGPL-3.0

  Votre serveur de messagerie fédéré.

Finances

• Bitcoin CoreMIT

  La monnaie qu’on détient soi-même.

• MoneroBSD-3-Clause

  Transactions confidentielles par défaut.

OPSEC & lanceurs d'alerte

• SecureDropAGPL-3.0

  Dépôt anonyme de documents pour les rédactions.

• OnionShareGPL-3.0

  Partager des fichiers via Tor, sans intermédiaire.

• Rayhunter (EFF)GPL-3.0

  Détecteur d’IMSI-catchers.

• mat2LGPL-3.0

  Nettoie les métadonnées avant publication.

• ExifToolArtistic/GPL

  Lire et effacer les métadonnées EXIF.

PARTIE 27 · LE PLAN

Checklist de migration

Quatorze étapes, des victoires de dix minutes aux projets de week-end. Les cases sont enregistrées dans ce navigateur uniquement. Rien ne quitte votre appareil.