WARP : un navigateur Android orienté sécurité aux conditions parfois troubles

Qualcomm et EMbience ont publié fin août un navigateur pour Android, Warp. Poussé récemment par l’EFF et basé sur Chromium, il incorpore un certain nombre de modules consacrés à la protection de la vie privée, comme Privacy Badger. Les conditions d’utilisation invitent cependant à la prudence.

L’Electronic Frontier Foundation se félicite de voir arriver un récent navigateur, misant sur la sécurité, gagner en popularité. La fondation regrette en effet les grandes disparités qui peuvent exister avec les navigateurs classiques, dont les nombreuses extensions peuvent couvrir tous les besoins.

Quoi de mieux dès lors qu’un produit intégrant directement diverses protections, surtout quand elles sont elles-mêmes issues des travaux de l’EFF ?

Un navigateur qui veut préserver la vie privée

Voici donc Warp, basé sur le socle open source de Chrome, Chromium. Il intègre directement certaines extensions comme HTTPS Everywhere et Privacy Badger. Le premier a pour mission d’activer le mécanisme HSTS partout où c’est possible, tandis que le second permet de bloquer le suivi publicitaire lié à de nombreux domaines. Notez que ces intégrations sont à chaque fois des portages.

Comme souvent, l'aspect vie privée est donc mis en avant, mais aussi celui du blocage publicitaire. Un élément qui devient récurrent pour les nouveaux navigateurs, qui veulent rapidement émerger et trouver un public. Quitte à oublier de se poser la question du financement des sites visités par leur biais (voir nos analyses).

WARP se présente donc comme une alternative très crédible pour tout utilisateur qui souhaiterait placer avant tout la vie privée au premier plan. Mais s’il souhaite effectivement se préserver des intrusions de l’extérieur. Il a également tout intérêt à jeter un œil aux conditions d’utilisation du navigateur.

De la collecte des données...

Ce dernier dispose d’un site officiel lancé pour l’occasion. On y apprend divers éléments intéressants, notamment que WARP est optimisé pour les SoC Snapdragon, ce qui n’est pas étonnant, compte tenu de l’implication de Qualcomm. Le message est globalement de rendre à l’utilisateur la maitrise de la navigation web. Mais la partie « Privacy Policy » contredit quelque peu cet objectif.

WARP récolte des données de plusieurs manières, et surtout plus ou moins volontairement. Il y a les informations envoyées directement, notamment les rapports d’erreurs et signalements de problèmes. Mais EMbience, l’éditeur, parle également de données récupérées lors de l’utilisation, via de tierces parties ou « dérivées » de ce que l’utilisateur a déjà fourni.

Une description assez nébuleuse agrémentée tout de même d’exemples plus précis : un relevé périodique de la position géographique (désactivable), des informations techniques sur l’appareil utilisé (pas le numéro de téléphone), la consommation des données, des informations sur la version utilisée et la manière dont les fonctions servent ou encore, plus mystérieux, « les informations que vous pourriez entrer dans le navigateur WARP ».

... à leur utilisation ou traitement

La collecte des données est une chose, leur utilisation en est une autre. Comme on s’en doute, une partie est d’ordre télémétrique et servira directement à des statistiques d’usage en vue d’améliorer le navigateur. Elles seront également utilisées pour alimenter certains services fournis par WARP, ou encore dans les signalements de problèmes, notamment les rapports de plantage.

Mais attention, certains points risquent de réfréner quelques ardeurs. Par exemple, les commentaires et retours fournis peuvent être utilisés à des fins commerciales ou marketing, notamment des publicités (par exemple des commentaires élogieux), accompagnées du nom si celui-ci est fourni.

Plus complexe, EMbience indique se réserver le droit de mixer ces informations avec d’autres obtenues par des sources tierces. Dans ce cas, elles pourront être rendues anonymes et utilisées comme l’éditeur le souhaitera. Les conditions ne s’appliquent plus sur ces données « anonymisées » et agrégées.

Enfin, la manière dont les informations sont traitées. Les serveurs sont situés aux États-Unis, ce qui implique toutes les lois sur la surveillance des données étrangères. EMbience indique d’ailleurs qu’elle peut avoir à les fournir dans le cadre de demandes émanant de forces de l’ordre (rien de surprenant ici). Les données peuvent en outre bouger vers d’autres services, et « tout agent, fournisseur de service, revendeur, sous-traitant ou affilié » qui serait impliqué dans le traitement pourra y avoir accès.

Bloquer le tracking publicitaire n'est pas suffisant

En définitive, les conditions d’utilisation ne sont pas très différentes de n’importe quel autre produit plus classique. Des données sont récoltées, tant pour des besoins télémétriques que commerciaux. Le simple fait d’intégrer des extensions comme HTTPS Everywhere et Privacy Badger ne sera donc pas suffisant pour certains.

Les commentaires sur la fiche produit sont d’ailleurs pour la plupart assez extrêmes, les uns vantant les performances et la vie privée, les autres pointent les conditions d’utilisation.

Dommage, car le navigateur propose un lot de fonctionnalités intéressantes. EMbience indique agir avec transparence, mais WARP remplirait sans doute plus facilement sa mission si les conditions d’utilisation étaient débarrassées de certains passages. Une philosophie qui cadrerait mieux avec celle de l’EFF, qui y a surtout vu l’utilisation de ses deux extensions fétiches.

• Télécharger WARP (Android 4.1 minimum)