Capturer un site web dynamique avec une précision forensique, pour la conformité

Pourquoi les pages dynamiques mettent en échec la capture d'écran

Une page web moderne est rarement un document figé. Le contenu est assemblé par JavaScript après le chargement, des sections n'apparaissent qu'au défilement, prix et bannières dépendent du pays du visiteur, de son choix de cookies ou de son groupe de test, et un bandeau cookies peut masquer précisément l'allégation qui vous intéresse. Deux personnes qui ouvrent la même URL à la même minute peuvent voir des pages différentes.

Pour une preuve de conformité, cela compte doublement. Une capture d'écran montre un rendu et rien de la façon dont il a été obtenu : elle se conteste facilement. Et si l'enregistrement n'indique pas quelle version de la page il montre, vous ne pouvez pas établir que c'est celle qu'a vue un client, un investisseur ou le régulateur.

• Rendu côté client : le HTML livré d'abord est presque vide et des scripts construisent le contenu, typiquement dans les applications monopage (SPA).
• Chargement différé et défilement infini : images, avis ou mentions ne se chargent que lorsqu'ils arrivent à l'écran.
• Consentements et superpositions : murs de cookies, contrôles d'âge, fenêtres de chat et bannières fixes masquent une partie de la page.
• Variantes : tests A/B, personnalisation, ciblage géographique et état de connexion servent des contenus différents selon le visiteur.
• Contenus éphémères : offres à compte à rebours, prix flash et bannières tournantes changent d'heure en heure.

Ce que le régulateur peut vous demander de montrer plus tard

Plusieurs règles font peser la charge de la preuve sur l'entreprise qui a publié le contenu. Aucune n'impose un outil de capture, mais toutes supposent que vous puissiez montrer ensuite ce qui a réellement été publié.

• Promotions financières au Royaume-Uni : selon la règle FCA COBS 4.11.1R, une entreprise doit conserver un enregistrement adéquat de chaque promotion financière qu'elle diffuse ou approuve, par exemple cinq ans pour les activités MiFID, trois ans dans les autres cas et sans limite pour les transferts de retraite.
• Publicité au Royaume-Uni : la règle 3.7 du CAP Code impose aux annonceurs de détenir, avant publication, des justificatifs écrits pour les allégations objectives ; l'ASA peut juger trompeuses les allégations non étayées.
• Pratiques commerciales déloyales dans l'UE : l'article 12 de la directive 2005/29/CE permet aux juridictions et autorités d'exiger du professionnel la preuve de l'exactitude de ses allégations factuelles et de les tenir pour inexactes si la preuve manque ou est insuffisante.
• Annonces de réduction de prix dans l'UE : l'article 6 bis de la directive 98/6/CE, inséré par la directive (UE) 2019/2161, impose que le prix antérieur affiché soit le prix le plus bas pratiqué au cours d'une période d'au moins 30 jours avant la réduction.

Ceci n'est pas un conseil juridique pour votre situation ; les règles nationales et les régulateurs sectoriels ajoutent leurs propres exigences. Le fil conducteur est simple : si vous ne pouvez pas reproduire la page telle qu'elle était, le risque est pour vous.

Ce que signifie la précision forensique pour une page web

La précision forensique n'est pas une plus belle capture d'écran. C'est un enregistrement qui montre ce que la page a servi, comment il a été réalisé et que rien n'a changé depuis. L'ISO/IEC 27037 et les Lignes directrices du Conseil de l'Europe sur les preuves électroniques insistent sur l'intégrité, les métadonnées et la documentation de la collecte ; notre méthodologie est conçue en référence à l'ISO/IEC 27037. En pratique, une capture solide d'une page dynamique contient :

• La page rendue en capture d'écran pleine page, ainsi qu'une vidéo de son chargement.
• La source : le HTML brut et un instantané MHTML de ce que le navigateur a réellement reçu.
• Un journal réseau (HAR) de toutes les requêtes et réponses, avec les valeurs des cookies et les en-têtes d'autorisation masqués.
• Le contexte serveur : la chaîne de certificats TLS, les réponses DNS de plusieurs résolveurs et les données d'enregistrement du domaine.
• Les conditions de capture : heure, fenêtre d'affichage, choix de consentement effectués et interventions visuelles éventuelles, comme une bannière fixe masquée.
• Une empreinte SHA-256 de chaque élément, liée à un horodatage électronique qualifié, de sorte que toute modification ultérieure soit détectable.

Pas à pas : capturer une page dynamique

• Définissez la version nécessaire : pays, langue, appareil, connecté ou non, et le moment qui compte, par exemple un lancement, une réclamation ou un changement de prix.
• Partez d'un état propre, pour que d'anciens cookies ou une affectation de test antérieure ne décident pas de ce que vous voyez, et notez-le.
• Décidez du traitement du bandeau cookies et consignez votre choix ; refuser peut masquer du contenu, accepter peut modifier la page.
• Assurez-vous que les parties utiles sont chargées : défilez jusqu'au pied de page, ouvrez les accordéons des avertissements ou des conditions, attendez prix et avis.
• Capturez, puis vérifiez le résultat : l'allégation, la mention et le prix sont-ils lisibles sur la capture et présents dans le HTML ?
• Rédigez une courte note : qui, quand, pourquoi et quelle version. Si l'enregistrement est contesté, elle deviendra votre attestation.

Vérifiez ensuite le paquet de façon indépendante avant de vous y fier, par exemple hors ligne avec l'outil open source gpa-verify, qui contrôle les empreintes et l'horodatage qualifié sans avoir à nous faire confiance.

Choisir la méthode selon le type de page

Aucune méthode ne convient à toutes les pages. GetProofAnchor en propose quatre, et le bon choix dépend de ce que fait la page :

• Pages publiques de marketing, de prix et de conditions : capture serveur par URL. Notre infrastructure récupère la page, traite les murs de cookies par une couche de règles journalisée (le profil strict n'utilise pas d'IA) et consigne chaque intervention dans les métadonnées scellées.
• Applications monopage et pages derrière une connexion : l'extension de navigateur. Elle capture la page dans votre propre navigateur et le serveur la scelle à réception ; l'horodatage prouve donc l'heure de réception et l'intégrité, pas une observation indépendante. La capture serveur refuse les pages protégées par une connexion et les SPA et renvoie vers l'extension.
• Parcours en plusieurs étapes, comme fiche produit, configurateur, panier et confirmation, ainsi que les vidéos : Forensic Browser, application de bureau Windows qui place une session entière dans un seul paquet scellé avec un seul horodatage qualifié, en PDF validé dans Adobe Acrobat Reader ou en ZIP. À partir de 290 EUR HT par an (350,90 EUR TTC).
• Ni le temps ni l'équipe : Assisted Capture. Un opérateur capture les URL pour vous ; Rush couvre jusqu'à 5 URL avec 60 minutes garanties pour 249 EUR HT (301,29 EUR TTC).

D'une capture à une série de preuves : la surveillance planifiée

Une capture unique prouve un instant. Or les questions de conformité portent généralement sur des périodes : l'avertissement sur les risques était-il en ligne tout le trimestre, quand le prix a-t-il changé, combien de temps l'allégation est-elle restée publiée ? La surveillance de sites capture une page publique chaque jour ou chaque semaine, à l'heure de votre choix. Chaque contrôle est une preuve scellée complète avec un horodatage qualifié eIDAS, et vous recevez un e-mail lorsque le contenu diffère du passage précédent.

• Business, 99 EUR HT par mois (119,79 EUR TTC) : 10 moniteurs, 400 preuves par 30 jours, 10 utilisateurs.
• Monitoring 50, 399 EUR HT par mois (482,79 EUR TTC) : 50 moniteurs, 1 800 preuves par 30 jours.
• Monitoring 100, 599 EUR HT par mois (724,79 EUR TTC) : 100 moniteurs, 3 500 preuves par 30 jours.
• Chaque contrôle consomme une preuve : un moniteur quotidien en utilise environ 30 par mois, un hebdomadaire environ 4 à 5.

Limites à connaître : la surveillance ne fonctionne que sur des pages accessibles publiquement, les sites dotés d'une protection anti-robots stricte peuvent la bloquer, et rien n'est enregistré entre deux passages : un changement qui apparaît et disparaît dans la journée peut échapper. Pour une page derrière une connexion, utilisez l'extension, une capture à la fois.

Ce que prouve l'horodatage, et ce qu'il ne prouve pas

Selon l'article 41, paragraphe 2, du règlement eIDAS, un horodatage électronique qualifié bénéficie d'une présomption d'exactitude de la date et de l'heure qu'il indique et d'intégrité des données auxquelles il se rapporte, et selon l'article 41, paragraphe 3, il est reconnu comme horodatage qualifié dans tous les États membres de l'UE. Pour votre enregistrement, cela signifie que les éléments existaient exactement sous cette forme au moment scellé et n'ont pas changé depuis.

Cela ne signifie pas que tous les visiteurs ont vu la même page, que le contenu est vrai ni qu'un juge ou un régulateur doit accepter l'enregistrement. C'est pourquoi les conditions de capture et votre note comptent autant que le sceau. Aucun outil ne garantit l'appréciation d'une preuve ; un enregistrement documenté, scellé et vérifiable de façon indépendante est simplement bien plus difficile à écarter qu'une capture d'écran.

Une organisation pratique pour une équipe conformité

• Recensez les pages à contenu réglementé : promotions financières, allégations produit, prix et réductions, CGV, mentions sur la vie privée, mentions de partenariat ou de contenu généré par IA.
• Fixez une fréquence par page : hebdomadaire pour les pages stables, quotidienne pendant les campagnes, plus une capture manuelle à chaque lancement et à chaque modification.
• Désignez un responsable et écrivez une fois les règles de version (pays, appareil, choix de consentement) pour que les captures restent comparables.
• Alignez la durée de conservation sur la règle la plus stricte qui vous concerne et gardez les ZIP de preuve, pas seulement les rapports.
• Regroupez les preuves par campagne, produit ou client dans des dossiers et exportez un dossier entier en un seul ZIP pour un audit ou un litige.
• Faites une vérification test avec gpa-verify chaque trimestre, pour savoir que vos enregistrements tiendront le jour où l'on vous les demandera.

Questions fréquentes

Sources

• FCA Handbook, COBS 4.11 : conservation des promotions financières
• ASA et CAP : justification des allégations, règle 3.7 du CAP Code
• Directive 2005/29/CE relative aux pratiques commerciales déloyales, article 12
• Directive (UE) 2019/2161, insérant l'article 6 bis dans la directive 98/6/CE (réductions de prix)
• Règlement (UE) n° 910/2014 (eIDAS), article 41
• Conseil de l'Europe : Lignes directrices sur les preuves électroniques dans les procédures civiles et administratives