Dans un rapport, l'Arcep décortique toutes les manières dont les terminaux limitent un accès complet aux contenus et services du Net. Elle propose une série de remèdes, donc de plus grands pouvoirs à un « régulateur expert » qu'elle tente elle-même d'incarner.

L'autorité des télécoms, l'Arcep, sort son plan de bataille pour réguler les terminaux et systèmes d'exploitation. Elle vient de publier son rapport sur l'ouverture des terminaux connectés, « maillon faible de l'Internet ouvert ». Sur 73 pages, elle détaille les limites à l'égalité d'accès aux contenus et services que posent les appareils sortis cette dernière décennie, et propose une longue séries de mesures pour y remédier. 

Adoptée en novembre 2015 par l'Union européenne, la neutralité du Net ne concerne que les opérateurs télécoms, les concepteurs de terminaux ou de systèmes se conformant aujourd'hui au droit de la concurrence. Dans les prochaines années, les obligations des télécoms et services en ligne sont amenées à s'aligner en Europe. C'est là qu'intervient l'Arcep : pour l'autorité, les terminaux conditionnent bien l'accès aux contenus et services, comme un opérateur.

Depuis un an, le président de l'Arcep, Sébastien Soriano, multiplie les sorties télévisées, radio et les tribunes pour affirmer l'autorité comme celle qui aura la charge de la neutralité des plateformes. Les 20 ans de l'institution ont marqué ce tournant dans la communication de l'institution, considérant les plateformes comme l'horizon de sa régulation.

Du 11 décembre au 10 janvier, elle a auditionné entreprises, développeurs indépendants, plateformes... « La  rédaction  du  présent  rapport,  et  en  particulier  les  nombreuses  interactions  avec  les  parties prenantes, a permis à l’Arcep de cartographier un nombre relativement important de limites à l’ouverture d’Internet provenant des terminaux » écrit l'autorité, qui se pose en experte du sujet.

La concentration autour d'Android et iOS, des « effets de club »

Si le rapport doit concerner l'ensemble des terminaux, il se concentre en bonne partie sur les smartphones, dont le choix conditionne l'achat de nombreux autres équipements. Au troisième trimestre 2017, le marché était dominé par deux systèmes d'exploitation, selon IDC : Android (83 % de part) et iOS (16 %).

Cette concentration s'explique par l'attirance des clients par des magasins d'applications bien remplis, tout aussi pratiques pour les développeurs, qui s'évitent une compatibilité avec une multitude de systèmes et de partenaires de distribution. Il s'agit « d'effets de club », selon l'Arcep. Or, « ces effets de club peuvent expliquer l’échec de systèmes d’exploitation apparus tardivement, comme Firefox OS, qui n’ont pas rassemblé une communauté suffisamment large de développeurs et d’utilisateurs ».

Pour garder la main sur son système, Apple maîtrise tout de bout en bout, du matériel au magasin d'applications. Google, lui, a fondé en 2007 l'Open Handset Alliance qui regroupe constructeurs et opérateurs, pour co-concevoir Android et imposer des règles de compatibilité. Il est ainsi interdit aux partenaires de concevoir des dérivés (forks) d'Android sans validation de Google.

En échange, le groupe fournit surtout ses Play Services, une collection de services et d'interfaces de programmation (API) qui concentrent une grande part des outils aimés des clients, dont la boutique d'applications officielle, le Play Store. Il les encourage même financièrement à ne préinstaller que ses services dans certains domaines. Ce régime a été jugé anticoncurrentiel par la Commission européenne, vu les effets importants de cette préinstallation sur les services tiers, rarement inclus au premier démarrage.

Pour justifier ces approches, les groupes invoquent la sécurité et la sécurité d'emploi. Limiter la liberté des utilisateurs et des partenaires serait, au fond, bon pour l'écosystème.

Le marché chinois est d'ailleurs considéré comme particulier. Il dispose d'un grand nombre de fabricants et de services locaux, qui exploitent le code d'Android sans passer par Google ou son magasin d'applications. Huawei, Oppo, Vivo et Xiaomi détenaient ainsi près des deux tiers du marché en avril 2017 (selon China Internet Watch). Cela sous le contrôle du gouvernement, qui décide des contenus et services accessibles, comme l'a montrée la suppression de réseaux privés virtuels (VPN).

La différenciation, moteur de la vente de terminaux

L'Arcep pose aussi un constat simple : des éléments différenciants peuvent devenir « décisifs » dans le choix du terminal. L'autorité cite la montée de l'intelligence artificielle, au cœur des assistants personnels ou services de photos pour le tri des clichés, et utilisée par les plateformes pour détecter des contenus à contrôler ou supprimer.

« Parfois, l’aide de l’intelligence artificielle consistera à faire une recommandation à l’utilisateur ; dans d’autres cas, elle prendra les décisions pour l’utilisateur, sans nécessairement l’informer des autres options qui s’offrent à lui » estime l'institution.

Les assistants vocaux se multiplient aussi : Alexa d'Amazon, Assistant de Google, Cortana de Microsoft et Siri d'Apple, en plus de tentatives tierces comme Bixby de Samsung ou Djingo d'Orange. Ils peuvent prendre des décisions pour l'utilisateur, amené à s'appuyer de plus en plus dessus... même si déclamer ses commandes en public pose toujours problème. L'Arcep anticipe une évolution vers d'autres interfaces, par exemple écrites comme les chatbots.

Les outils de paiement mobiles sont aussi concernés, qu'ils soient au sein des applications, « de proximité » via une borne, de mobile à mobile ou via la facture télécoms. L'autorité dessine un paysage morcelé, entre les solutions des banques (comme Paylib), des concepteurs de systèmes mobiles (Apple Pay et Android Pay de Google), par les constructeurs (comme Samsung Pay), les opérateurs type Orange Cash ou encore les services tiers comme Lydia ou PayPal.

Ce morcellement s'explique à la fois par une logique d'exclusivités et partenariats (donc de négociations individuelles entre concepteurs, banques, voire commerçants physiques) et une absence d'interopérabilité de ces outils. Dernier exemple en date, la compatibilité de la Société générale avec Apple Pay, officialisée hier.

L'appui croissant sur le cloud pour l'hébergement des données et les calculs est évoqué, en transformant les terminaux en clients léger. Les réalités virtuelle et augmentée pourront aussi devenir importantes à l'avenir, Apple et Google fourbissant leurs armes via ARKit et ARCore. 

D'autres matériels sont listés : consoles de jeux, boitiers TV, voitures connectées ou enceintes connectées (Amazon Echo, Google Home, Apple HomePod)... L'adoption de ces produits à l'utilité spécifique peut engendrer une « kindle-isation » des terminaux, justifiée par l'ergonomie ou des raisons commerciales.

« Quelle que soit son origine, on pourrait craindre que ce modèle ne s’étende à l’ensemble des équipements, conduisant à un fractionnement de l’accès à Internet » écrit l'autorité, qui envisage tout de même que les appareils « universels » comme le smartphone ou le PC perdurent.

Des limites diverses à la neutralité des appareils

Derrière ces fonctions « vitrines », les utilisateurs ne sont pas forcément au fait des limites des terminaux qu'ils acquièrent et utilisent la majorité du temps. Selon l'Arcep, les smartphones sont renouvelés tous les 22 mois en moyenne par les Européens (étude Kantar de 2016), ce qui confère une position concurrentielle forte des fabricants de certains terminaux.

« Si le règlement européen sur l’internet ouvert consacre la liberté de choix et d’usage du terminal, il n’impose pas d’obligation spécifique aux équipementiers et constructeurs de terminaux, ni aux autres maillons logiciels de la chaine technique » rappelle le régulateur. Les contraintes sont pourtant nombreuses.

Les premières sont liées à la natue des terminaux : smartphones, montres connectées, consoles de jeu ou enceintes simplifient l'accès aux services mais ne proposent pas la versatilité d'un ordinateur classique. La limitation des fonctions entraine celle des capacités. L'autorité note que les enceintes connectées ne sont pas ouvertes aux développeurs d'applications, même si elles peuvent appeler leurs interface de programmation (API) pour obtenir les contenus.

Les évolutions des systèmes sont aussi des chaines potentielles pour les développeurs d'applications. D'un côté, le modèle de maîtrise totale d'Apple (illustré sur iOS) peut l'amener à des décisions unilatérales. « Afin de stimuler l’extinction des versions les plus anciennes, le développeur du système d’exploitation peut, à la faveur d’une mise à jour, décider de ne plus donner accès à des API préalablement mises à disposition des développeurs d’applications », donc rendre ces applications obsolètes, note le régulateur.

Face à iOS, l'ouverture d'Android montre les problèmes que posent la fragmentation d'un système, à la fois par l'absence de mises à jour et le nombre de dérivés d'une même version par nombre d'acteurs.

Accès au web, magasins d'applications : des espoirs et des contraintes 

Une solution, pour ouvrir à tous les services, consiste à passer par le web. Malheureusement, les applications web sont dépendantes du navigateur et du système d'exploitation. Chaque combinaison propose son lot de fonctions spécifiques, malgré la standardisation (de principe) du W3C, un processus lent anticipé ou suivi de loin par chaque fureteur.

Certains ont même des limites volontaires, comme l'impossibilité chronique de choisir librement son moteur de recherche via Chrome et Safari sur mobile (comme le regrette Qwant). L'autorité des télécoms s'inquiète aussi des suggestions des navigateurs lors d'une recherche, qui met en valeur des services face à d'autres, sur des critères qui ne sont pas toujours clairs.

Les Progressive Web Apps, des applications web traitées comme des logiciels classiques, suscitent l'espoir de l'Arcep, comme alternative aux magasins d'applications. « Toutefois, même si les Progressive Web Apps reprennent certaines des fonctionnalités clés des applications, elles ne bénéficient pas immédiatement des dernières innovations apportées par les smartphones » comme les notifications système, pondère le rapport.

Les magasins d'applications, en premier lieu l'AppStore d'Apple et le Play Store de Google, sont passés au crible par l'institution. Selon elle, l'imposition des magasins et des systèmes pose de sérieuses questions de concurrence.

S'il est bien possible d'installer d'autres magasins d'applications sur Android, à côté de celui de Google, le groupe jetterait d'office le discrédit sur les concurrents. L'analyse de sécurité des applications par Google, quand ses Play Services sont installés, ainsi que les alertes de sécurité en installant des logiciels hors du Play Store, sont critiquées. « De tels avertissements paraissent particulièrement inappropriés dans le cas de magasins d’application, tels que F-Droid, connus pour leurs vérifications poussées sur les applications qu’ils proposent » tance l'Arcep.

Les applications préinstallées sont « des choix imposés au client ». Même si leur présence facilite l'utilisation, l'interdiction de les désinstaller est un problème. L'autorité prend l'exemple de la barre de recherche de Google, que certains constructeurs empêchent de supprimer. Les choix par défaut des assistants personnels (difficilement modifiables) sont aussi cités, même si leur importance n'est pas aussi grande aujourd'hui.

Mise en avant des applications et accès aux API : des ressorts cachés

Le rapport pointe aussi la politique éditoriale opaque des magasins d'application, du seul choix de leurs concepteurs. « Outre les justifications techniques affichées, telles que la sécurité et l’intégrité du magasin d’applications, ou la protection des données personnelles, il est possible que certaines limites résultent en réalité de choix commerciaux : les magasins d’applications peuvent privilégier des services verticalement intégrés en entravant le bon fonctionnement des applications concurrentes, qu’il s’agisse de musique, de vidéo ou de presse » résume avec pudeur l'institution.

Techniquement, l'accès à des fonctions « annexes » du terminal peuvent être limitées, comme les paiements sur iPhone réservés au service d'Apple, que ce soit au sein d'applications ou en borne sans contact. Cette politique peut amener des surcoûts pour les éditeurs de services ou d'applications, payables par le client final, ce qui s'est déjà vu pour des abonnements à la presse.

L'autorité s'interroge aussi sur la mise en avant des applications face au web. Les applications sont plus restrictives que le web, selon elle : « les développeurs d’applications conçoivent celles-ci dans l’objectif de rendre un service spécifique ». Cette focalisation sur les applications natives induit la mise en avant des services intégrés du concepteur du système, une pratique habituelle chez Apple et Google, pense l'entité.

Elle s'intéresse aussi aux conditions de mise à disposition des API, contrainte directe pour les développeurs. Certaines sont bien réservées aux propriétaires du système (Apple ou Google), qui peuvent exceptionnellement les ouvrir à des tiers, dans des conditions opaques.

Les services propriétaires de Google (les Play Services) intègrent des interfaces spécifiques. Par exemple, « l’API de géolocalisation est décrite comme plus simple, plus précise et moins énergivore que la version disponible sur la version open source d’Android ». L'accès aux API « web », pour accéder aux contenus d'un service en ligne, est habituellement soumis à des conditions d'utilisation. Cette privatisation des API est « une entrave à la réussite de certains systèmes d’exploitation et une contrainte indirecte pour l’ouverture d’Internet », tente l'Arcep. 

Cette dépendance aux services de Google sur Android est visible. C'est ce que montrent les statistiques d'Exodus Privacy, qui listent les API référencées dans le code d'applications (sans présumer de leur utilisation). 78 % des applications analysées contiennent une référence à Google Ads (1 631 applications), quand le top cinq des « traqueurs » embarqués appartient au groupe de Mountain View.

Il s'agit d'une épine dans le pied d'eelo, un système protecteur de la vie privée, qui compte s'appuyer sur Android. Pour son initiateur, Gaël Duval, la compatibilité avec les Google Play Services est un point de vigilance particulier (voir notre entretien). Il s'appuie sur une implémentation libre, microG, pour s'en passer.

« À l’extrême, les mécanismes à l’œuvre dans cette affaire pourraient conduire à l’émergence d’un « TriNet », dans lequel les grandes plateformes n’offriraient la version optimale de leurs services qu’aux personnes utilisant les terminaux de leur marque » pense l'institution.

Des préconisations et une volonté d'obtenir plus de pouvoirs

« Constatant que l’ouverture d’internet peut déjà être mise à mal par des fabricants de terminaux et éditeurs d’OS, l’Arcep estime par  ailleurs nécessaire d’y remédier dès maintenant au travers de moyens d’action ciblés. » Concrètement, elle propose de :

• Étendre l'Internet ouvert au-delà de la neutralité du Net, pour inclure une liberté de choix des services et contenus, indépendamment du terminal
• Améliorer la transparence sur l'ouverture des terminaux, via la collecte et la publication de données
• Doter un « régulateur expert » du pouvoir de recueillir des informations auprès du secteur, par exemple sur les choix de classement des magasins d'applications. L'Arcep est bien entendu sur les rangs, même si l'idée pourrait sûrement intéresser le CSA
• Recueillir des signalements d'utilisateurs, sur le modèle du portail J'alerte l'Arcep, à l'utilité toujours floue pour le client lui-même
• Promouvoir les outils de comparaison, qui sont encore à construire, toujours dans une logique de crowdsourcing (déjà promue dans les télécoms)
• « Imposer la transparence sur les critères de référencement et de classement des magasins d'applications »
• Possiblement, rendre contestable la position des acteurs clefs :
• en facilitant le changement de système ou d'équipement : faciliter la portabilité des données, renforcer la compatibilité des terminaux avec les services, et avec ceux d'autres familles
• en permettant l'émergence de systèmes d'exploitation concurrents, même si l'Arcep constate qu'en l'état actuel des choses, un système tiers a peu de chances d'émerger sur mobile. L'innovation technologique serait donc la clef 
• Agir directement auprès des acteurs concernés pour maitenir l'ouverture d'Internet
• Donner la possibilité de supprimer toutes les applications préinstallées
• Permettre une hiérarchie alternative des contenus et services dans les magasins d'applications, par exemple via des moteurs tiers
• Permettre d'utiliser des magasins d'applications tiers de manière sereine
• Ouvrir toutes les fonctions d'un terminal à tous les développeurs, sans préférence commerciale de la part du concepteur du système
• Surveiller l'exclusivité de contenus et de services à certains terminaux
• Mettre en place une procédure agile pour accompagner les jeunes pousses et PME
• L'Arcep veut inventer une procédure de litige adaptée aux petites entreprises, quand les pratiques de fabricants ou concepteurs de systèmes nuisent à l'ouverture d'Internet
• Pour les fournisseurs de service, il s'agirait d'obtenir un outil de réglement de différends simple en cas de problème d'accès à des terminaux (sur les critères de référencement des magasins d'applications, la mise en avant de contenus par un système, l'accès de moteurs de recherche tiers aux magasins, l'accès de boutiques d'applications tierces à un système ou l'accès des applications aux API système)

Le pouvoir final restera tout de même aux mains des internautes, estime Sébastien Soriano. « En choisissant notre téléphone, nous choisissons en réalité notre montre, nos enceintes, un service de musique et, au bout du compte, la playlist qui accompagnera notre dîner entre amis. Demain, c’est à l’assistant vocal de notre voiture que nous demanderons "mets-moi les informations". Et de fait, l’enjeu deviendra démocratique s’il ne l’était pas déjà », estime-t-il dans une tribune dans L'Obs, fustigeant les GAFAM.

Si le rapport n'apprendra pas grand-chose aux spécialistes, il place l'Arcep comme un expert à leur niveau, avec une capacité à fédérer les acteurs numériques autour de ces problématiques, alors qu'elle s'estimait invisible d'eux il y a encore un an et demi. Il reste désormais à voir quelle réponse y donnera le gouvernement. Mounir Mahjoubi a reçu le président de l'Arcep ce matin, alors que l'autorité s'est considérablement rapprochée de l'exécutif depuis l'arrivée de Sébastien Soriano.