SFR communique en direction de ses clients pour annoncer la mise en place d’un nouveau service de « navigation protégée », censé bloquer l’accès aux sites problématiques. Il prend la forme d’un filtrage DNS, opéré à partir des données d’un prestataire français, EfficientIP, en passe d’être racheté par un fonds américain. Le dispositif est activé par défaut, alors même que l’opérateur ne donne aucune information précise sur son fonctionnement.

Annoncé par voie de communiqué de presse le 2 juin dernier (PDF), « SFR Navigation Protégée » est un nouveau service offert par l’opérateur au carré rouge à tous ses clients fibre, SFR ou Red by SFR. Il est présenté comme une « solution de protection intégrée, automatique et efficace directement au niveau du réseau » qui permet de bloquer de façon préventive l’accès aux sites frauduleux ou dangereux, dès lors que l’internaute surfe par l’intermédiaire de sa box.

Un filtrage DNS en forme de boîte noire

Depuis quelques jours, SFR communique plus directement auprès de ses clients fibre pour les informer de l’intégration de ce service à leur forfait. « Avec SFR Navigation Protégée, vous naviguez plus sereinement. Les sites dangereux identifiés par notre partenaire EfficientIP sont automatiquement bloqués et vous en êtes averti en temps réel. Vous n’avez rien à faire : pas d’installation, pas de réglage, le service est inclus et activé automatiquement », écrit l’opérateur dans un email dédié, expédié fin juin.

EfficientIP, fondée en 2004 et installée en région parisienne, se présente comme un spécialiste de la gestion des aspects liés au DNS (qui traduit les adresses IP en noms de domaine), au DHCP (qui attribue les adresses IP au sein d’un réseau) et à l’IPAM (gestion des adresses IP). Outre une plateforme de gestion centralisée de ces différents aspects, la société vend plusieurs briques spécialisées, destinées notamment à la sécurité des réseaux télécom d’entreprise.

• [Dossier] Internet, mode d’emploi : de l’URL à l’IP avec le DNS (partie 2)

L’une d’elles, baptisée DNS Threat Pulse, prend justement la forme d’une liste de domaines malveillants que le client peut intégrer à ses propres serveurs DNS pour en bloquer préventivement l’accès. D’autres font appel à un moteur d’inspection, à l’image de DNS Guardian, qui tourne sur le serveur DNS et fait de l’inspection de trafic en temps réel pour, par exemple, détecter une tentative d’exfiltration de données.

Dans le lot, quelle est la solution mise en œuvre par SFR ? S’il insiste sur la simplicité inhérente à cette protection, l’opérateur ne donne aucun détail technique dans son email. La question n’est cependant pas triviale dans la mesure où le service est activé par défaut pour tous les clients, sans qu’ils aient à en faire la demande.

Son communiqué de début juin se veut légèrement plus disert : « Fort de plus de 10 ans d’expérience, EfficientIP s’appuie sur l’Intelligence Artificielle pour fournir à SFR une base de données de menaces constamment mise à jour et enrichie par la collecte et l’analyse de données à l’échelle d’Internet, assurant ainsi une défense de pointe contre les menaces émergentes ».

Présenté de la sorte, le service ressemble à une liste opérée par SFR au niveau de ses propres serveurs DNS, mais impossible de l’affirmer de façon catégorique. Contacté pour vérification, le FAI n’a pas répondu à nos questions.

Une protection activée par défaut chez tous les clients fibre

L’une des pages de FAQ de la marque Red by SFR accrédite la thèse d’un simple filtrage DNS. Elle explique en effet que l’on peut désactiver SFR Navigation Protégée « en paramétrant le service DNS tiers de son choix » au niveau de l’interface d’administration de sa box. La mesure ne sera cependant valable que de façon limitée. « En cas de désactivation, le service SFR Navigation Protégée sera réactiver [sic] lors de la prochaine réinitialisation de votre RED Box Fibre », indique en effet l’opérateur.

Pour procéder à une désactivation définitive, il n’y a pas d’autre choix que de formuler une demande explicite. « Le filtrage est actif par défaut sur votre ligne. Vous pouvez demander son retrait à tout moment auprès de notre Service Client », précise la FAQ hébergée cette fois sur le site principal SFR. Elle précise au passage que son filtrage « ne bloque pas l’accès aux sites illégaux (exemple : peer-to-peer) ».

Complaisamment relayée dans les médias en ligne début juin, l’annonce de ce nouveau service a tout de même fait quelques mécontents, comme cet internaute très remonté parce que sa box lui coupe l’accès à des sites « d’opinion en géopolitique » d’obédience pro-russe.

Plusieurs lecteurs de Next nous ont également signalé l’email reçu de leur opérateur, en s’émouvant que ce dernier s’arroge, même si c’est via un intermédiaire technique, une forme de contrôle sur les sites qu’ils visitent. Dans le lot, certains ont fait remonter l’information selon laquelle « l’entreprise française » sur laquelle s’appuie SFR n’était plus tout à fait française. Comme l’a révélé l’Informé mi-avril, EfficientIP vient en effet d’être racheté par un fonds californien, Francisco Partners.

Rappelons que les internautes qui souhaitent se protéger des sites malveillants sans en déléguer la gestion à leur opérateur peuvent tout à fait mettre en place leur propre filtrage DNS, en s’appuyant par exemple sur les listes proposées par DNS4EU, celles-là même que Free met en œuvre dans l’offre mVPN intégrée à ses forfaits mobiles.

• mVPN de Free Mobile : analyse technique et performances du VPN gratuit