Prouver combien de temps un site frauduleux ou un clone est resté en ligne

Pourquoi la durée compte, pas seulement l'existence

Dans la plupart des dossiers de faux sites et de clones, personne ne conteste que le site a existé. Le débat porte sur la durée et sur ce qui s'est passé pendant ce temps. C'est souvent cette période qui fait bouger l'argent ou la responsabilité.

• Recouvrement après fraude : plus le site est resté en ligne, plus la fenêtre pendant laquelle d'autres victimes ont payé est large, et plus il est facile de rattacher paiements et publicités à une même opération.
• Marques et concurrence déloyale : la durée de l'usage contrefaisant fait partie de la démonstration du préjudice et des bénéfices du contrefacteur.
• Litiges de noms de domaine : une trace datée du contenu montre à quoi servait le domaine, ce qui est au cœur de la mauvaise foi selon les principes UDRP.
• Responsabilité des hébergeurs et plateformes : selon le règlement sur les services numériques (DSA), la question est de savoir si le contenu est resté en ligne après la notification.

Aucun de ces points ne se prouve avec une seule image. Il faut un début, une série de points intermédiaires et, idéalement, une fin.

Ce qu'une capture prouve, et ce qu'elle ne prouve pas

Une capture scellée par un horodatage qualifié eIDAS prouve que les données capturées existaient au moment indiqué dans l'horodatage et n'ont pas changé depuis. Selon l'article 41(2) eIDAS, cette date et cette intégrité sont présumées, et l'article 41(3) fait reconnaître l'horodatage qualifié dans tous les États membres.

Elle ne prouve ni la date de mise en ligne, ni la durée, ni la véracité du contenu. Une capture scellée est un point sur une chronologie. Le reste se construit avec d'autres preuves et d'autres captures.

Dater le début : quatre traces à rassembler

Vous aurez rarement une capture du premier jour. Le début se reconstitue en général à partir de traces enregistrées par des tiers, et chacune doit elle-même être capturée, car ces données peuvent aussi changer.

• Données d'enregistrement du domaine (RDAP ou WHOIS) : la date de création. Elle montre quand le nom a été enregistré, pas quand la boutique a ouvert.
• Journaux Certificate Transparency : registres publics des certificats TLS. Le premier certificat émis pour le domaine indique souvent quand le site était en préparation.
• Instantanés d'archives web : la plus ancienne copie archivée, s'il y en a une. Utile comme indice, mais réalisée par un tiers selon sa propre méthode.
• Publicités, publications et signalements de victimes : la date de début affichée dans une bibliothèque publicitaire, la première publication renvoyant au site, la première plainte ou le premier paiement.

Nos captures serveur enregistrent avec chaque preuve les données RDAP/WHOIS, les réponses DNS de trois résolveurs publics et la chaîne de certificats TLS : le volet réseau du début est scellé avec la page.

Prouver que le site est resté en ligne : une série scellée

Le milieu de la chronologie est le point faible de la plupart des dossiers. Quelqu'un a capturé le site une fois, puis trois semaines plus tard, et l'autre partie soutient qu'il était hors ligne entre-temps. Une série planifiée comble ce vide.

• Des contrôles quotidiens pour les arnaques et clones actifs qui attirent du trafic ou encaissent des paiements.
• Des contrôles hebdomadaires pour les dossiers plus lents, comme une boutique copieuse contre laquelle vous préparez une action en contrefaçon.
• Une capture manuelle en plus du calendrier dès qu'il se passe quelque chose : nouvelle page de paiement, nouvelle publicité, changement de prix.

Chaque contrôle est une preuve scellée distincte : le dossier devient une liste de points datés plutôt qu'un récit. Un calendrier n'est pas une surveillance continue : ce qui apparaît et disparaît entre deux contrôles n'est pas enregistré, choisissez donc l'intervalle selon le risque.

Après la notification : prouver que le site était encore en ligne

Selon l'article 6(1) du DSA, un hébergeur ne conserve son exemption de responsabilité que s'il agit promptement dès qu'il a effectivement connaissance d'un contenu illicite. L'article 16(3) précise qu'une notification suffisamment précise donne lieu à cette connaissance.

Capturez donc la notification elle-même (confirmation du formulaire ou e-mail), puis laissez la série tourner. Un contrôle scellé montrant la page encore en ligne plusieurs jours après une notification précise est un fait bien plus fort qu'une simple affirmation.

Miroirs, clones et changements de domaine

Les escrocs exploitent rarement un seul domaine. Quand l'un est bloqué, la même boutique réapparaît sous un nouveau nom, souvent avec le même modèle, la même page de paiement ou les mêmes coordonnées.

• Placez chaque domaine connu sous son propre moniteur, y compris la page de paiement, pas seulement la page d'accueil.
• Capturez ce qui relie les clones : texte identique, même compte bancaire ou portefeuille, même identifiant de suivi ou même IP d'hébergement.
• Dès qu'un nouveau miroir apparaît, capturez-le et ajoutez-le à la série, pour que le dossier montre une seule opération et non une liste de sites sans lien.

Prouver la fin

La fin de la période compte autant que le début : elle montre quand le préjudice a cessé et si le retrait a fonctionné. Capturez la page d'erreur, la page de suspension du bureau d'enregistrement ou la réponse vide dès qu'elle survient.

Une capture serveur de la page d'erreur ou de suspension enregistre aussi les réponses DNS et les données du domaine : vous montrez, à un instant scellé, où pointait le nom une fois la boutique disparue.

Construire la pièce chronologique

Juges, banques et panels ne veulent pas quarante paquets de preuves. Ils veulent un tableau lisible et les paquets derrière.

• Une ligne par événement : date et heure, ce qu'elle montre, la source et l'identifiant de la preuve.
• D'abord les traces du début (enregistrement, premier certificat, première copie archivée, première publicité), puis la série scellée, puis les notifications, enfin la fin.
• À côté de chaque ligne, le SHA-256 du paquet de preuve, pour que chacun puisse relier le fichier au tableau.
• Une courte note de méthode : outils utilisés, calendrier, qui a capturé quoi.
• La voie de vérification : comment l'autre partie contrôle chaque paquet hors ligne avec un outil open source.

Dans notre tableau de bord, vous regroupez toutes les preuves d'un dossier dans une affaire et exportez l'affaire entière en un ZIP avec un index CSV, une base prête pour ce tableau.

Quel outil pour quelle étape

Trois produits couvrent la démarche, et la plupart des équipes les combinent.

• Website Monitoring pour la série : contrôles planifiés quotidiens ou hebdomadaires, chacun étant une preuve avec horodatage qualifié eIDAS, et un e-mail quand la page change. Business 99 EUR par mois avec 10 moniteurs, Monitoring 50 à 399 EUR et Monitoring 100 à 599 EUR, HT.
• Forensic Browser pour le parcours : un achat test de la fiche produit au paiement, les pages vendeur derrière connexion ou une publicité vidéo, capturés en une seule session scellée. Licences annuelles dès 290 EUR HT.
• Assisted Capture quand la première capture ne peut pas attendre : notre opérateur capture les URL pour vous, Rush garanti en 60 minutes pour 249 EUR HT, Single dès 49 EUR en 90 minutes.

Les captures serveur sont publiques par défaut. Pour une enquête sensible, dépubliez les preuves dans le tableau de bord afin que l'exploitant du site ne les trouve pas.

Questions fréquentes

Sources

• Règlement (UE) n° 910/2014 (eIDAS), article 41
• Règlement (UE) 2022/2065 (règlement sur les services numériques), articles 6 et 16
• Directive 2004/48/CE relative au respect des droits de propriété intellectuelle, article 13 (dommages-intérêts)
• WIPO Jurisprudential Overview 3.0 (UDRP, mauvaise foi)
• RFC 6962 : Certificate Transparency
• RFC 9083 : réponses JSON du protocole RDAP
• Conseil de l'Europe : Lignes directrices sur les preuves électroniques dans les procédures civiles et administratives