L’épisode du blocage de Google, OVH et Wikipedia soulève de nombreuses questions. Interrogée en fin de matinée, Orange a expliqué l’incident par une « erreur humaine ». Nous sommes revenus à la charge auprès de l’opérateur.

C’est peu de le dire, les effets de ce « fail » ont été particulièrement douloureux : tous les abonnés Orange qui tentaient de se rendre sur Google.fr (ou Wikipedia.fr ou OVH) étaient redirigés automatiquement sur la page du ministère de l’Intérieur. Là, ils étaient informés que leur site fétiche était désormais bloqué en raison de faits d’apologie ou de provocation au terrorisme.

Pour mémoire, c’est un décret de février 2015 qui a rendu concrètement possible cette mesure administrative, en ce sens où pas un seul juge n’intervient a priori pour décider du blocage. Tout part d’une décision prise au ministère qui adresse régulièrement une liste des sites à bloquer ou à déréférencer respectivement aux fournisseurs d’accès et aux moteurs. Le FAI, destinataire d’un tel courrier, doit alors rediriger le site litigieux vers l’adresse IP du ministère afin d’expliquer les causes du blocage.

Cette liste n’est pas publique. Elle n’est connue que du seul ministère de l’Intérieur et des intermédiaires techniques concernés. C’est donc sur un nœud quelconque de cette chaîne que le bug s’est produit.

Une actualisation de la liste noire qui s’est mal passée

Contactée à nouveau, Orange patine un peu dans le flou : « à un moment donné, il y a une intervention humaine qui a provoqué l’erreur. On ne cherche pas à vous cacher la vérité ». Selon notre interlocuteur, l’incident s’est produit « lors de l’actualisation des sites bloqués, qui s’est mal passée. Les sites se sont retrouvés bloqués alors qu’ils n’avaient évidemment aucune raison de l’être. »

Mais comment se fait-il qu’une telle « erreur humaine » puisse se produire sans les étages de validation nécessaires avant toute décision de ce type ? Comment se fait-il que ces adresses n’aient pas sauté aux yeux des humains chargés justement d’éviter les erreurs de ce type ? Les conséquences sont en effet dramatiques pour l’image de marque des sites web concernés, rangés dans le même panier que les illuminés prêts à se faire sauter. « Dans le meilleur des cas, une défaillance des procédures de validation interne (Orange devrait s'inspirer du mécanisme de double-check en vigueur chez certains FAIs). Dans le pire… ben le pire est à venir » commente en ce sens un ancien responsable d’un opérateur concurrent.

Des détails, mais pas trop

Recontactée, Orange nie en tout cas l’existence d’un « effet rebond » à savoir l’hypothèse du blocage d’une sous-page de Wikipedia, reprise par exemple par Google. « C’est une liste de sites à bloquer et on bloque juste ces sites, pas des sous-pages ». 

Insistant sur la fameuse erreur humaine, Orange se contente de nous redire que l’intervention fautive a eu lieu ce matin, vers 10 heures. « En fait, on entre un fichier de blacklistage et c’est là qu’a eu lieu l’erreur ». Une certitude : « ce traitement n’est pas fait automatiquement, on ne reçoit pas la liste automatiquement pour la rentrer dans un serveur ».

Notre correspondant arrive malgré tout au plafond de la transparence : « on m’a demandé de ne pas entrer trop dans les détails, c’est assez technique… ». Pour l’avenir, « nous sommes en train de procéder à des vérifications pour éviter que cela se reproduise. On a trouvé l’origine de l’erreur, c’est une erreur humaine, identifiée et corrigée. On sait d’où elle vient, mais nous cherchons à savoir comment elle a pu se produire. »

Faute de mieux, nous dressons plusieurs scénarios, par exemple l’hypothèse d’une mauvaise liste adressée par le ministère de l’Intérieur, qui serait passé entre les mailles des filets : « On ne peut pas commenter. C’est nous qui assumons le fait de rentrer ce blacklistage » se contente de répondre notre interlocuteur. Certes, il y a un argument imparable pour ruiner cette possibilité : les mêmes sites étaient toujours accessibles depuis d’autres FAI. Seulement, la porte n’est pas fermée à double tour : rien ne dit en effet que la mise à jour ait été adressée ou traitée au même moment par l’ensemble des FAI concernés.

Quant à la piste mise en avant par Macg.co, à savoir l’intégration erronée d’un fichier de test ? « Pas de commentaire ».

Un parfait épouvantail

L’épisode va en tout cas servir de parfait épouvantail pour les possibles extensions de ces mesures en France. Il montre on ne peut mieux que, malgré toutes les garanties données par le ministère de l’Intérieur lors de sa mise en route, un tel bug reste possible dans le blocage.

Et finalement, le plus gros souci n’est pas tant de connaitre l’erreur humaine à l’origine du problème, mais qu’une telle erreur ait pu se produire.