Logiciel de capture de preuves web : 10 questions à poser avant d’acheter

Partez du besoin, pas de la liste de fonctionnalités

Avant de comparer les éditeurs, notez ce que vous devez réellement capturer. Le bon outil pour un cas urgent isolé est rarement le bon pour une équipe d’enquête qui capture tous les jours. Quatre besoins typiques :

• Une seule page urgente : une publication diffamatoire, une annonce frauduleuse ou une allégation d’un concurrent qui peut disparaître en quelques heures.
• Des captures répétées pour un même dossier : fiches produit, profils ou annonces collectés pendant des semaines.
• Du contenu derrière une connexion ou interactif : groupes fermés, comptes sur des places de marché, contenu derrière un paywall.
• L’évolution dans le temps : conditions générales, prix ou déclarations à enregistrer régulièrement.

Gardez cette liste sous la main. Les dix questions ci-dessous montrent comment un outil traite chaque besoin et où sa preuve est la plus faible. Elles valent pour chaque éditeur de votre liste, des noms établis comme Page Vault, Pagefreezer ou WebPreserver aux outils européens plus récents, le nôtre compris.

1. Qui réalise la capture, et le dossier l’indique-t-il ?

Il existe trois modèles. Une capture serveur est réalisée par l’infrastructure de l’éditeur, pas par votre appareil. Une extension de navigateur ou un navigateur forensique de bureau enregistre ce qu’affiche votre propre navigateur. Avec un service assisté, un opérateur capture la page pour vous. Les trois sont légitimes, mais ils ne prouvent pas la même chose.

Demandez à l’éditeur de dire clairement ce que le scellement prouve pour chaque modèle. Pour une capture faite sur votre appareil puis téléversée, la réponse honnête est : le paquet a été scellé à réception, et le scellement prouve son intégrité et l’heure de réception, pas qu’un tiers indépendant a observé le contenu. Si un éditeur affirme davantage, demandez comment.

2. Qu’est-ce qui est capturé exactement ?

Une capture d’écran ou un PDF est une image de la page. Or les litiges se décident souvent sur le contexte qui l’entoure. Un paquet solide contient plusieurs éléments indépendants, chacun avec sa propre empreinte :

• une capture d’écran de la page entière et le code HTML brut
• un instantané MHTML ou une archive équivalente de la page rendue
• un fichier HAR du trafic réseau, avec les valeurs des cookies et les jetons masqués
• une vidéo du chargement et du défilement de la page
• la chaîne de certificats TLS et les résultats DNS du domaine
• les métadonnées de capture : URL, heure, navigateur, taille de fenêtre et paramètres

Demandez un paquet d’exemple et ouvrez-le. Si vous n’obtenez qu’une image et un PDF, la partie adverse n’a qu’un seul fichier à attaquer.

3. Comment l’intégrité est-elle scellée, et par qui ?

Des empreintes seules ne prouvent rien tant qu’elles ne sont pas figées dans le temps par quelqu’un d’autre que la personne qui détient les fichiers. Dans l’UE, l’instrument de référence est l’horodatage électronique qualifié au sens du règlement eIDAS, délivré par un prestataire de services de confiance qualifié inscrit sur les listes de confiance de l’UE. Selon l’article 41, paragraphe 2, il bénéficie d’une présomption d’exactitude de la date et de l’heure qu’il indique et d’intégrité des données auxquelles elles se rapportent. Selon l’article 41, paragraphe 3, un horodatage qualifié délivré dans un État membre est reconnu comme qualifié dans tous les États membres.

Notez ce que couvre la présomption : l’heure et l’intégrité, pas la véracité de ce que dit la page. Demandez qui délivre l’horodatage, s’il remplit les exigences de l’article 42 pour un horodatage qualifié et s’il couvre chaque élément ou seulement un rapport. Un ancrage blockchain peut être une couche supplémentaire utile, mais à lui seul ce n’est pas un horodatage qualifié.

4. Peut-on vérifier sans l’éditeur ?

Une preuve qu’on ne peut vérifier que sur le site de l’éditeur dépend de la survie de l’éditeur et de la confiance que lui accorde le juge. Exigez :

• un outil de vérification indépendant, idéalement open source, qui fonctionne hors ligne
• le jeton d’horodatage et la chaîne de certificats dans le paquet lui-même
• un instantané de la liste de confiance concernée, pour vérifier le statut du prestataire sans faire confiance à l’éditeur

Puis testez : modifiez un octet d’un fichier scellé et vérifiez que la vérification échoue.

5. Les interventions pendant la capture sont-elles déclarées ?

Les vraies pages résistent : bandeaux cookies, en-têtes fixes, fenêtres surgissantes, images chargées en différé. Chaque outil doit intervenir d’une façon ou d’une autre, cliquer sur un consentement, masquer une surcouche ou faire défiler. C’est acceptable tant que c’est consigné. Demandez si chaque intervention figure dans les métadonnées scellées et dans le rapport, et si un service tiers, par exemple un modèle d’IA, voit la page pendant la capture. La norme ISO/IEC 27037 donne des lignes directrices générales pour l’identification, la collecte, l’acquisition et la préservation des preuves numériques ; un éditeur doit pouvoir décrire sa méthodologie en s’y référant, sans revendiquer une certification qu’il n’a pas.

6. Sessions de plusieurs pages et contenu derrière une connexion

Beaucoup de dossiers ne tiennent pas en une URL. Un vendeur de contrefaçons a une boutique, dix annonces et une page de paiement. Un dossier de harcèlement couvre un profil, des publications et des commentaires. Demandez si l’outil capture toute une session de navigation dans un seul paquet scellé, et comment il gère le contenu derrière une connexion.

Une capture serveur ne peut généralement pas se connecter à votre place, et elle ne le doit pas. Pour les pages derrière une connexion, il vous faut une capture dans le navigateur ou un opérateur avec son propre compte, et le dossier doit indiquer quelle voie a été utilisée.

7. Des formats que le destinataire peut vraiment ouvrir

Un juge, un procureur ou le confrère adverse n’installera pas le logiciel de votre éditeur. Un PDF avec horodatage qualifié intégré au format PAdES (ETSI EN 319 142) se valide dans Adobe Acrobat Reader. Un paquet ZIP avec manifeste d’empreintes convient aux experts techniques qui veulent chaque fichier brut.

Demandez si vous obtenez les deux, ce que le PDF scelle exactement et si les données de validation à long terme sont intégrées, afin que l’horodatage reste vérifiable après l’expiration du certificat du prestataire.

8. Modèle tarifaire et volume réel

Le prix par capture varie davantage que ne le suggèrent les grilles tarifaires. Modélisez votre année réelle :

• le prix à l’unité ou les packs de crédits conviennent aux cas ponctuels
• les abonnements mensuels conviennent aux équipes à volume régulier
• les licences annuelles d’un logiciel de bureau conviennent au travail intensif et répété

Vérifiez ce qui compte comme une capture (une page, une session ou un paquet), si l’horodatage qualifié est inclus dans chaque capture ou vendu en option, et ce que deviennent vos paquets en cas de résiliation.

9. Protection des données et conservation

Les captures contiennent souvent des données personnelles. Demandez où elles sont traitées et stockées, quels sous-traitants interviennent, si l’on peut désactiver tout traitement par un tiers, combien de temps les paquets sont conservés et comment les exporter. Gardez votre propre copie de chaque paquet : votre preuve ne doit pas exister uniquement dans le compte de quelqu’un d’autre.

10. Pouvez-vous d’abord tester un vrai exemple ?

Le test le plus rapide d’un éditeur est un exemple sur une URL que vous choisissez. Ouvrez le paquet, vérifiez-le hors ligne et lisez le rapport comme le ferait l’expert de la partie adverse. Un éditeur sûr de ses preuves vous laissera le faire avant de payer.

Où se situe GetProofAnchor, en toute franchise

Nous avons construit GetProofAnchor autour de ces questions ; voici donc la correspondance directe. Chaque preuve payante est scellée par un horodatage qualifié eIDAS de SK ID Solutions, prestataire de services de confiance qualifié de l’UE, et se vérifie hors ligne avec l’outil open source gpa-verify. Trois façons de l’utiliser :

• Forensic Browser (application de bureau Windows) : naviguez normalement et capturez toute une session, y compris des pages derrière une connexion, dans un seul paquet scellé, soit un PDF avec horodatage qualifié intégré qui se valide dans Adobe Acrobat Reader, soit un ZIP pour les experts. Licence annuelle à partir de 290 € HT (350,90 € TTC avec 21 % de TVA).
• Application web : capture serveur par URL avec capture d’écran, HTML, MHTML, HAR, vidéo, TLS et DNS dans un seul Evidence ZIP, plus une extension de navigateur pour les pages derrière une connexion. À partir de 9 € HT pour 3 preuves (10,89 € TTC) ou 19 € HT par mois (22,99 € TTC).
• Assisted Capture : envoyez-nous les URL et un opérateur les capture pour vous, à partir de 49 € HT (59,29 € TTC) avec livraison sous 90 minutes, ou Rush avec 60 minutes garanties pour 249 € HT (301,29 € TTC).

Aucun outil ne peut garantir qu’un tribunal admettra une preuve ; c’est au juge d’en décider. Un outil peut rendre la preuve difficile à contester. Pour le vérifier vous-même, demandez-nous une preuve d’exemple gratuite d’une URL de votre choix.

Questions fréquentes

Sources

• Règlement (UE) n° 910/2014 (eIDAS), articles 41 et 42 – EUR-Lex
• Règlement (UE) 2024/1183 modifiant eIDAS – EUR-Lex
• RFC 3161 : Time-Stamp Protocol (TSP) – IETF
• ISO/IEC 27037:2012 – Lignes directrices pour l’identification, la collecte, l’acquisition et la préservation de preuves numériques
• ETSI EN 319 142-1 – Signatures PAdES
• Listes de confiance de l’UE – eIDAS Dashboard (Commission européenne)