Preuve internet et plainte : comment la fournir à la police pour qu’elle soit vraiment exploitable

Pourquoi la police ne peut souvent pas sécuriser un contenu web à temps

Beaucoup pensent qu’une fois la plainte déposée, la police s’occupera des preuves. Pour tout ce qui se trouve sur internet, c’est risqué. Entre le dépôt de plainte et le moment où un enquêteur ouvre réellement le lien, des jours voire des semaines peuvent s’écouler – et le contenu web est la preuve la plus volatile qui soit.

Ce n’est pas un reproche aux enquêteurs. C’est un problème structurel auquel toutes les polices d’Europe sont confrontées :

• Volume : les services spécialisés en cybercriminalité reçoivent bien plus de signalements d’escroqueries, de harcèlement et de menaces en ligne qu’ils ne peuvent en traiter le jour même.
• Suppression : les auteurs effacent leurs publications, renomment leurs profils et ferment les faux sites dès qu’ils soupçonnent une plainte. Les plateformes retirent aussi les contenus après un signalement – avec la preuve visible.
• Données à l’étranger : la plateforme et ses serveurs se trouvent généralement dans un autre pays. Obtenir des données par l’entraide pénale internationale classique (MLAT) prenait traditionnellement des mois.
• Pouvoirs : la police a besoin d’une base légale et souvent d’une décision d’un magistrat avant de pouvoir réquisitionner des données auprès d’un prestataire.

Capturer d’abord, porter plainte ensuite

La chose la plus utile qu’une victime, un avocat ou une entreprise puisse faire : sécuriser le contenu avant de le signaler à la plateforme ou de confronter l’autre partie. Signaler, bloquer ou commenter fait souvent disparaître le contenu. Un ordre d’étapes raisonnable :

1. Rassemblez toutes les URL utiles : publication, profil, boutique, annonce, page de paiement, fil de commentaires.
2. Capturez chaque URL publique de manière forensique – page entière, HTML source, journal réseau, empreintes SHA-256 et horodatage qualifié.
3. Capturez le contenu protégé par un identifiant (messages privés, commandes, groupes fermés) depuis votre propre navigateur connecté.
4. Conservez les originaux reçus par e-mail ou messagerie dans leur format d’origine, sans les modifier.
5. Seulement ensuite, déposez plainte et, si vous le souhaitez, signalez le contenu à la plateforme.

Une capture d’écran seule est une image modifiable, sans heure fiable, sans code source et sans preuve qu’elle n’a pas été retouchée. GetProofAnchor capture une URL publique côté serveur et produit un Evidence ZIP contenant une capture pleine page, le HTML/DOM, un journal réseau HAR, des métadonnées, un manifeste SHA-256 avec chaîne de hachage, un horodatage qualifié eIDAS d’un prestataire de services de confiance accrédité dans l’UE, un ancrage Bitcoin via OpenTimestamps et un rapport PDF. Pour le contenu derrière un identifiant, le widget navigateur des formules d’abonnement capture ce que vous voyez dans votre propre session.

À quoi ressemble une remise exploitable à la police

La police et le parquet travaillent avec un dossier de procédure. Ce que vous remettez doit y trouver sa place, être lisible par un enquêteur qui n’est pas informaticien et rester vérifiable plus tard par un service d’investigation numérique. Une remise exploitable comporte cinq éléments :

• Les fichiers Evidence ZIP sur clé USB ou autre support de données, ou via un lien de téléchargement sécurisé si l’autorité l’accepte. Remettez des copies – gardez votre propre copie de chaque fichier.
• Le rapport PDF de chaque capture, imprimé, pour qu’il puisse être versé directement au dossier papier ou numérique.
• L’empreinte SHA-256 de chaque Evidence ZIP, écrite en toutes lettres dans la plainte. Cette empreinte relie le texte de la plainte à exactement ces fichiers.
• Une courte description de qui a capturé quoi, quand et comment (voir la section suivante).
• La liste des URL, avec pour chacune une ligne expliquant son intérêt : la fausse annonce, la publication menaçante, le faux profil.

Pourquoi l’empreinte a sa place dans la plainte

Une empreinte SHA-256 est l’empreinte digitale d’un fichier. Si un seul octet change, l’empreinte change complètement. En l’indiquant dans votre plainte signée, vous figez le contenu de la preuve au moment du dépôt. Chacun – enquêteur, procureur, défense, tribunal – peut ensuite recalculer l’empreinte et vérifier qu’il s’agit bien des fichiers remis.

Ce que contient exactement un Evidence ZIP et comment le lire →

Chaîne de conservation : qui, quoi, quand, comment

La chaîne de conservation (chain of custody) signifie qu’à tout moment on peut expliquer d’où vient une preuve et qui l’a détenue depuis. La norme ISO/IEC 27037, ligne directrice internationale pour l’identification, la collecte, l’acquisition et la préservation des preuves numériques, insiste sur une acquisition documentée, reproductible et justifiable. Pour une victime ou un avocat, cela se traduit par un court paragraphe factuel dans la plainte :

• Qui : le nom de la personne qui a réalisé la capture, ou le service qui l’a réalisée pour son compte.
• Quoi : les URL capturées et, pour le contenu protégé par identifiant, le compte depuis lequel il a été consulté (le vôtre).
• Quand : la date et l’heure de chaque capture, selon l’horodatage qualifié figurant dans le rapport.
• Comment : la méthode et l’outil utilisés – capture forensique côté serveur ou capture dans votre propre session de navigateur.
• Depuis : où les fichiers ont été conservés et le fait qu’ils n’ont pas été modifiés, ce que confirme l’empreinte.

Restez sobre. Dans ce paragraphe, vous ne plaidez pas l’affaire ; vous permettez à la police de faire confiance à vos éléments et de les revérifier facilement.

Comment la norme ISO/IEC 27037 s’applique à l’acquisition de preuves web →

Ce qu’il faut écrire dans la plainte

Il n’existe pas de formulaire particulier pour joindre des preuves web, mais une structure claire fait gagner du temps à la police et réduit le risque que vos preuves passent inaperçues. Une structure éprouvée :

1. Votre identité et vos coordonnées, et si vous agissez en tant que victime, avocat d’un client ou pour une entreprise.
2. Les faits, dans l’ordre chronologique, avec dates, montants et plateformes.
3. La personne soupçonnée, si vous la connaissez – pseudonymes, URL de profils, numéros de téléphone, IBAN, adresses e-mail.
4. La liste des preuves : chaque Evidence ZIP avec son nom de fichier, l’heure de capture et l’empreinte SHA-256.
5. Le paragraphe sur la chaîne de conservation : qui a capturé quoi, quand et comment.
6. Les originaux que vous tenez à disposition : téléphone, messages, e-mails, relevés bancaires.
7. La demande que la police sollicite auprès de la plateforme ou du prestataire la conservation et la communication des données.

Ne modifiez pas les originaux – et gardez l’appareil

Une capture forensique d’une page web ne remplace pas les originaux sur vos propres appareils. La police peut vouloir les examiner et la défense peut demander si quelque chose a été modifié. Par conséquent :

• Ne supprimez pas les conversations, messages ou e-mails échangés avec la personne soupçonnée, même s’ils sont pénibles. Archivez-les si besoin, mais ne les effacez pas.
• Ne réinitialisez pas, ne vendez pas et ne remplacez pas le téléphone ou l’ordinateur sur lequel vous avez reçu les messages avant la fin de l’affaire, ou au moins avant que la police confirme qu’elle n’en a pas besoin.
• Ne modifiez, ne recadrez et n’annotez pas les fichiers de preuve. Pour mettre quelque chose en évidence, faites une copie annotée séparée et indiquez qu’il s’agit d’une copie.
• Ne transférez pas les originaux d’une manière qui supprime les métadonnées, par exemple un e-mail réenregistré en capture d’écran. Exportez-les dans leur format d’origine lorsque c’est possible.
• Ne répondez pas à l’auteur d’une façon qui pourrait provoquer une suppression avant que vous ayez tout capturé.

Demander en parallèle une conservation des données auprès de la plateforme

Votre capture sécurise ce qui était visible publiquement ou dans votre propre compte. Elle ne montre pas ce que seule la plateforme sait : adresses IP, heures de connexion, données d’inscription, messages supprimés, données de paiement. Seules les autorités peuvent les obtenir – et seulement tant que le prestataire les conserve.

Depuis le 18 août 2026, le règlement (UE) 2023/1543 relatif aux injonctions européennes de production et de conservation de preuves électroniques – le règlement e-Evidence – est applicable. Il permet à une autorité judiciaire d’un État membre d’ordonner directement à un prestataire proposant des services dans l’UE de conserver ou de produire des preuves électroniques, sans passer par la lente entraide pénale. La victime ne peut pas émettre ces injonctions elle-même, mais elle peut les demander :

• Indiquez dans la plainte que vous demandez à la police ou au procureur de faire conserver sans délai les données du compte de la personne soupçonnée auprès de la plateforme nommée.
• Précisez la plateforme exacte, l’URL du profil, le pseudonyme ou l’identifiant de l’annonce, pour que l’injonction soit bien ciblée.
• Signalez que le contenu risque d’être supprimé rapidement et que votre propre capture établit ce qui était visible à un moment précis.

Comment la police et le parquet peuvent vérifier les preuves de façon indépendante

Un bon dossier de preuves n’exige pas que l’autorité fasse confiance à la victime ni à l’outil. Il doit pouvoir être vérifié par n’importe qui, sans compte et sans contacter l’éditeur. Pour un Evidence ZIP GetProofAnchor, la vérification se déroule ainsi :

1. Recalculer l’empreinte SHA-256 du ZIP et la comparer à celle indiquée dans la plainte.
2. Déposer le ZIP sur /verify, ou exécuter l’outil open source en ligne de commande gpa-verify entièrement hors ligne sur un poste d’analyse forensique.
3. Vérifier que chaque fichier correspond au manifeste et à la chaîne de hachage et que l’horodatage qualifié est valide.
4. Contrôler l’ancrage Bitcoin via OpenTimestamps, seconde preuve indépendante d’existence à ce moment.

Selon l’article 41, paragraphe 2, du règlement eIDAS, un horodatage électronique qualifié bénéficie d’une présomption d’exactitude de la date et de l’heure qu’il indique et d’intégrité des données auxquelles elles se rapportent. Cela ne tranche pas l’affaire – les juges apprécient librement les preuves – mais rend une capture forensique bien plus difficile à contester qu’une capture d’écran.

Le guide complet des horodatages qualifiés eIDAS →

Notes par pays : où déposer plainte

Dans toute l’UE, on peut porter plainte auprès de la police ou directement auprès du parquet. La remise des preuves numériques varie cependant légèrement d’un pays à l’autre :

• France : la plainte peut être déposée dans un commissariat ou une brigade de gendarmerie, ou adressée par courrier au procureur de la République. Pour certaines escroqueries en ligne, les particuliers peuvent porter plainte en ligne via la plateforme THESEE ; une pré-plainte en ligne existe aussi pour certaines infractions. Signalez dans votre plainte que vous tenez les Evidence ZIP et leurs empreintes à disposition.
• Allemagne : la Strafanzeige peut être déposée dans tout poste de police, auprès du parquet ou via le commissariat en ligne (Onlinewache) du Land. Les formulaires en ligne n’acceptent généralement pas de gros fichiers : mentionnez-y les Evidence ZIP et leurs empreintes et proposez de les remettre.
• République tchèque : un trestní oznámení peut être déposé auprès de tout service de la Policie ČR ou du parquet (státní zastupitelství), oralement, par écrit ou par voie électronique. En cas de dépôt en personne, apportez le support de données et les rapports imprimés.

Victime d’une arnaque en ligne ? Les premiers réflexes et les preuves à sécuriser →

Pour les enquêteurs, la sûreté d’entreprise et les autorités

Les avocats, équipes de sûreté d’entreprise et enquêteurs privés qui préparent une plainte pour un client devraient traiter les preuves web comme n’importe quelle pièce à conviction : capturer tôt, documenter la méthode, référencer clairement chaque capture et joindre les empreintes au dossier. Cela vous protège aussi lorsque la défense conteste la manière dont les éléments ont été obtenus.

Les agents de police et des administrations qui capturent eux-mêmes du contenu web au quotidien ont besoin d’un autre outil qu’une victime occasionnelle. Le GetProofAnchor Forensic Browser est une application de bureau Windows destinée aux professionnels – enquêteurs, police, autorités et cabinets d’avocats – qui capture le contenu web au cours d’une enquête avec le même résultat scellé et vérifiable de façon indépendante. Il est disponible à partir de 290 € par an.

Forensic Browser pour enquêteurs et autorités →

Preuves web dans la pratique des enquêteurs et de la sûreté d’entreprise →

Questions fréquentes

Cet article est une information générale et ne constitue pas un conseil juridique. La procédure pénale diffère selon les pays ; pour un cas précis, consultez un avocat ou le service de police ou le parquet compétent.