responsabilité de l'hébergeur en cas de site piraté

Le Thu, 26 Mar 2009 13:40:29 +0000, siger a écrit :

Bonjour,
J'ai parcouru ce forum et j'ai trouvé une phrase disant que ce n'est pas
à l'hébergeur de faire la police.

"Faire la police" est une expression trop vague pour pouvoir dire si
cette phrase a un sens ou pas. Voyons plutôt le cas proposé :

J'aimerai avoir une confirmation à propos des responsabilités dans le
cas d'un site web qui est piraté et qui sert à faire du phishing, par
exemple en utilisant une faille de la technologie du site.

- 1. cette faille est corrigée et le webmestre a à sa disposition la
mise à jour : dans ce cas, je comprend bien que le webmestre est
responsable, et que l'hébergeur le menace de fermer son compte si cette
négligence se reproduit

L'hébergeur peut même être obligé de suspendre l'accès public au compte
en question, en particulier si l'exploitation de la faille s'est faite
sous forme de phishing, ou encore sur une plainte LCEN.

- 2. cette faille n'est pas encore corrigée par le concepteur du
logiciel qu'utilise le site : dans ce cas, je comprend que le site soit
fermé le temps de régler le problème, mais rien de plus, à mon avis

Est-ce que ce qui est écrit est juste ? Y a t-il une différence selon
que l'hébergement est gratuit (chez Free, par exemple) ou payant ?

Merci.

Ta question ne sont pas claires pour moi, donc je reformule ce que j'en
comprends : un hébergeur peut-il maintenir un site fermé hors questions
de vulnérabilité ?

Si c'est bien ça, la réponse est (comme souvent) "ça dépend".

La suspension peut avoir d'autre causes que la vulnérabilité du site,
notamment un site fonctionnel peut affecter le service par son design et
sa suspension peut s'imposer pour la bonne marche générale du service, ou
encore un site peut être suspendu sur plainte LCEN.

Maintenant, un site qui n'est pas l'objet d'une plainte et qui n'affecte
pas le service (et qui n'est pas illégal de façon flagrante) n'a pas de
raison d'être suspendu.

Cependant, des contraintes spécifiques peuvent être imposées dans les
conditions d'usage du service.

Amicalement,
--
Albert.

Le Thu, 26 Mar 2009 13:40:29 +0000, siger a écrit :

Bonjour,
J'ai parcouru ce forum et j'ai trouvé une phrase disant que ce n'est pas
à l'hébergeur de faire la police.

"Faire la police" est une expression trop vague pour pouvoir dire si cette
phrase a un sens ou pas. Voyons plutôt le cas proposé :

J'aimerai avoir une confirmation à propos des responsabilités dans le
cas d'un site web qui est piraté et qui sert à faire du phishing, par
exemple en utilisant une faille de la technologie du site.

- 1. cette faille est corrigée et le webmestre a à sa disposition la
mise à jour : dans ce cas, je comprend bien que le webmestre est
responsable, et que l'hébergeur le menace de fermer son compte si cette
négligence se reproduit

L'hébergeur peut même être obligé de suspendre l'accès public au compte en
question, en particulier si l'exploitation de la faille s'est faite sous
forme de phishing, ou encore sur une plainte LCEN.

- 2. cette faille n'est pas encore corrigée par le concepteur du
logiciel qu'utilise le site : dans ce cas, je comprend que le site soit
fermé le temps de régler le problème, mais rien de plus, à mon avis

Est-ce que ce qui est écrit est juste ? Y a t-il une différence selon
que l'hébergement est gratuit (chez Free, par exemple) ou payant ?

Merci.

Tes questions ne sont pas claires pour moi, donc je reformule ce que j'en
comprends : un hébergeur peut-il maintenir un site fermé hors questions de
vulnérabilité ?

Si c'est bien ça, la réponse est (comme souvent) "ça dépend".

La suspension peut avoir d'autre causes que la vulnérabilité du site,
notamment un site fonctionnel peut affecter le service par son design et
sa suspension peut s'imposer pour la bonne marche générale du service, ou
encore un site peut être suspendu sur plainte LCEN.

Maintenant, un site qui n'est pas l'objet d'une plainte et qui n'affecte
pas le service (et qui n'est pas illégal de façon flagrante) n'a pas de
raison d'être suspendu.

Cependant, des contraintes spécifiques peuvent être imposées dans les
conditions d'usage du service.

Amicalement,
--
Albert.

Albert ARIBAUD a écrit :

Le Thu, 26 Mar 2009 13:40:29 +0000, siger a écrit :

J'aimerai avoir une confirmation à propos des responsabilités
dans le cas d'un site web qui est piraté et qui sert à faire du
phishing, par exemple en utilisant une faille de la technologie
du site.
(...)
- 2. cette faille n'est pas encore corrigée par le concepteur du
logiciel qu'utilise le site : dans ce cas, je comprend que le
site soit fermé le temps de régler le problème, mais rien de
plus, à mon avis

Est-ce que ce qui est écrit est juste ? Y a t-il une différence
selon que l'hébergement est gratuit (chez Free, par exemple) ou
payant ?

Tes questions ne sont pas claires pour moi, donc je reformule ce
que j'en comprends : un hébergeur peut-il maintenir un site fermé
hors questions de vulnérabilité ?

En effet, je n'ai pas été clair.

Dans le cas n°2 je demande si, comme dans le cas n°1, l'hébergeur peut
reprocher quelque chose au webmestre.

Dans la 3ème question je fais intervenir le côté payant de la
prestation de l'hébergement et je me demande si le fait que ce soit
payant donne une responsabilité à l'hébergeur (surveillance,
protection...)

--
siger

Le Thu, 26 Mar 2009 14:31:26 +0000, siger a écrit :

Albert ARIBAUD a écrit :

Le Thu, 26 Mar 2009 13:40:29 +0000, siger a écrit :

J'aimerai avoir une confirmation à propos des responsabilités dans le
cas d'un site web qui est piraté et qui sert à faire du phishing, par
exemple en utilisant une faille de la technologie du site.
(...)
- 2. cette faille n'est pas encore corrigée par le concepteur du
logiciel qu'utilise le site : dans ce cas, je comprend que le site
soit fermé le temps de régler le problème, mais rien de plus, à mon
avis

Est-ce que ce qui est écrit est juste ? Y a t-il une différence selon
que l'hébergement est gratuit (chez Free, par exemple) ou payant ?

Tes questions ne sont pas claires pour moi, donc je reformule ce que
j'en comprends : un hébergeur peut-il maintenir un site fermé hors
questions de vulnérabilité ?

En effet, je n'ai pas été clair.

Dans le cas n°2 je demande si, comme dans le cas n°1, l'hébergeur peut
reprocher quelque chose au webmestre.

"Reprocher quelque chose" n'est pas une formule heureuse pour une
question de droit. J'imagine que ta question peut se formuler ainsi :
l'hébergeur est-il en droit de suspendre le service (rendre le site
inaccessible) dans le cas où une faille du logiciel "propulsant" le dit
site n'a pas encore reçu de correction officielle bien que le site lui-
même ait été corrigé pour ne pas présenter cette faille ?

Sauf à ce que le contrat entre l'hébergeur et le titulaire du site
contienne des stipulations contraires, la technologie employée par le
site n'est pas un élément contractuel, et l'hébergeur n'est donc pas
fondé à conditionner le retour du service à la disponibilité officielle
d'une correction, ce d'autant plus que cette disponibilité n'est pas du
ressort du titulaire du site.

En revanche, le contrat peut prévoir que la remise en service du site
soit conditionnée à la réparation effective de toute faille constatée,
cette réparation étant du ressort du titulaire qui a le plein contrôle du
contenu du site (et pouvant dans certains cas être nécessaire pour que
l'hébergeur satisfasse aux exigences légales le concernant en tant que
fournisseur d'un service de communication au public).

Est-ce que ça répond à ta question ? Sinon, n'hésite pas à donner des
précisions sur le cas envisagé, ça aidera à déterminer le contexte plus
précisément.

Dans la 3ème question je fais intervenir le côté payant de la prestation
de l'hébergement et je me demande si le fait que ce soit payant donne
une responsabilité à l'hébergeur (surveillance, protection...)

Désolé, j'ai oublié de répondre sur ce point. Le caractère payant d'un
service n'est pas un facteur pour la question que tu soulèves. Tout ce
qu'il amène de nouveau, ce serait pour le client de pouvoir réclamer une
compensation pour les périodes de non disponibilité du service qui ne
seraient pas de sa responsabilité, celle-ci s'entendant selon ce qu'en
disent les conditions d'usage du service et la loi. A part ça, cela
n'ouvre aucune nouvelle obligation à l'hébergeur.

Pour information, les dites obligations (hors du cas que tu évoques plus
haut) sont essentiellement :

- de bloquer l'accès à certains types contenus illicites (notamment
incitation à la haine raciale, pédopornographie) dès qu'il en a
connaissance ;

- de bloquer l'accès à tout contenu faisant l'objet d'une demande
exprimée dans les formes (strictes) prévues par la LCEN ;

- de collecter les éléments d'information permettant d'établir l'identité
des créateurs de contenus hébergés et de remettre ces informations à
l'autorité judiciaire à la demande de celle-ci.

Amicalement,
--
Albert.

Albert ARIBAUD a écrit :

J'aimerai avoir une confirmation à propos des responsabilités
dans le cas d'un site web qui est piraté et qui sert à faire du
phishing, par exemple en utilisant une faille de la technologie
du site. (...)
- 2. cette faille n'est pas encore corrigée par le concepteur
du
logiciel qu'utilise le site : dans ce cas, je comprend que le
site soit fermé le temps de régler le problème, mais rien de
plus, à mon avis

Dans le cas n°2 je demande si, comme dans le cas n°1, l'hébergeur
peut reprocher quelque chose au webmestre.

"Reprocher quelque chose" n'est pas une formule heureuse pour une
question de droit. J'imagine que ta question peut se formuler
ainsi : l'hébergeur est-il en droit de suspendre le service
(rendre le site inaccessible) dans le cas où une faille du
logiciel "propulsant" le dit site n'a pas encore reçu de
correction officielle bien que le site lui- même ait été corrigé
pour ne pas présenter cette faille ?

Non, ce n'est toujours pas ça :-)

J'ai précisé que "dans ce cas, je comprend que le site soit fermé le
temps de régler le problème".

Est-ce que ça répond à ta question ? Sinon, n'hésite pas à donner
des précisions sur le cas envisagé, ça aidera à déterminer le
contexte plus précisément.

Je ne sais pas comment le dire autrement, j'ai essayé plusieurs
rédaction, mais j'en reviens toujours à mon message initial : Si un
site a une faille et qu'il n'y a pas de mise à jour disponible, est que
que l'hébergeur peut suspendre le site même après la mise à jour (ou
tout autre acte de "représailles") comme il le ferait si les mises à
jours sont disponible mais que le webmestre néglige de les installer
(cas n°1)

Pour information, les dites obligations (hors du cas que tu
évoques plus haut) sont essentiellement :

- de bloquer l'accès à certains types contenus illicites
(notamment incitation à la haine raciale, pédopornographie) dès
qu'il en a connaissance ;

- de bloquer l'accès à tout contenu faisant l'objet d'une demande
exprimée dans les formes (strictes) prévues par la LCEN ;

- de collecter les éléments d'information permettant d'établir
l'identité des créateurs de contenus hébergés et de remettre ces
informations à l'autorité judiciaire à la demande de celle-ci.

À mon tour d'essayer d'interprêter :-)
Je comprends que l'hébergeur, même payant, n'a aucune responsabilité en
cas de piratage d'un site pour spamer ou faire du phishing.

--
siger

Le Thu, 26 Mar 2009 15:21:46 +0000, siger a écrit :

Albert ARIBAUD a écrit :

J'aimerai avoir une confirmation à propos des responsabilités dans
le cas d'un site web qui est piraté et qui sert à faire du phishing,
par exemple en utilisant une faille de la technologie du site. (...)
- 2. cette faille n'est pas encore corrigée par le concepteur du
logiciel qu'utilise le site : dans ce cas, je comprend que le site
soit fermé le temps de régler le problème, mais rien de plus, à mon
avis

Dans le cas n°2 je demande si, comme dans le cas n°1, l'hébergeur peut
reprocher quelque chose au webmestre.

"Reprocher quelque chose" n'est pas une formule heureuse pour une
question de droit. J'imagine que ta question peut se formuler ainsi :
l'hébergeur est-il en droit de suspendre le service (rendre le site
inaccessible) dans le cas où une faille du logiciel "propulsant" le dit
site n'a pas encore reçu de correction officielle bien que le site lui-
même ait été corrigé pour ne pas présenter cette faille ?

Non, ce n'est toujours pas ça :-)

J'ai précisé que "dans ce cas, je comprend que le site soit fermé le
temps de régler le problème".

Est-ce que ça répond à ta question ? Sinon, n'hésite pas à donner des
précisions sur le cas envisagé, ça aidera à déterminer le contexte plus
précisément.

Je ne sais pas comment le dire autrement, j'ai essayé plusieurs
rédaction, mais j'en reviens toujours à mon message initial : Si un site
a une faille et qu'il n'y a pas de mise à jour disponible, est que que
l'hébergeur peut suspendre le site même après la mise à jour (ou tout
autre acte de "représailles") comme il le ferait si les mises à jours
sont disponible mais que le webmestre néglige de les installer (cas n°1)

Bon, je vais essayer de développer une réponse qui, par moments, risque
de te sembler s'éloigner de ton problème, mais il le faut pour que cette
réponse soit complète et suffisamment pertinente.

1) Dans la plupart des contrats d'hébergement que je connais, le
titulaire est libre des solutions qu'il choisit : le CMS qui va sous-
tendre son site n'est pas imposé par l'hébergeur, qui d'ailleurs ne
fournit pas de support dessus. La solution technique sur laquelle
s'appuie le site est donc de la seule responsabilité du titulaire.

2) Par conséquent, l'hébergeur n'a pas à imposer de contraintes
spécifiques propres à cette solution technique, et ne peut pas
conditionner la fourniture du service à ces contraintes (comment,
d'ailleurs, gérerait-il toutes les solutions techniques existantes et
leurs mises à jour ?)

3) De fait, l'hébergeur ne se pose pas la question de la suspension en
termes techniques, mais en termes généraux. En tant qu'hébergeur, les
termes généraux qui lui importent sont les plaintes LCEN, les plaintes
pour phishing, les plaintes en diffamation, et en tant que fournisseur
d'un service de communication ouvert au public, l'hébergeur doit aussi se
soucier de garantir le bon fonctionnement du service. Donc, s'il constate
un fait tel que phishing, plainte, ou dysfonctionnement du service qui a
sa cause dans un site hébergé, l'hébergeur est fondé à prendre des
mesures de suspension. Mais ils se contrefiche à ce moment-là que le site
ait eu une faille ou pas ; ça, ça concerne le titulaire.

4) De même, une fois un site suspendu, l'hébergeur n'est pas davantage
intéressé par la nature du logiciel qui faisait fonctionner ce site. Ce
qui lui importe, c'est que le risque (phishing, propos diffamatoires,
mise à mal de ses serveurs) ne perdure pas une fois le site remis en
ligne, et ce, quel que soit le moyen que choisit le titulaire du site
pour y arriver. Ce peut être le vidage du site, une correction ad hoc,
une mise à jour, un changement de CMS, la désactivation de certaines
options... l'hébergeur s'en moque. Ce qu'il veut en revanche, c'est une
garantie que des mesures efficaces ont été prises pour réduire le risque.

5) -- on y arrive -- donc, si la mise à jour ne paraît pas suffisante à
l'hébergeur pour supprimer le risque (par exemple, le titulaire a fait
l'objet d'une intrusion, il met à jour son site mais néglige de vérifier
les fichiers que l'intrus a pu mettre en place pour pouvoir se
réintroduire plus tard), il peut ne pas vouloir autoriser la remise en
ligne, non pour une question technique ("la mise à jour est faire ou
pas") mais pour une question générale liée à sa responsabilité et à celle
du titulaire du site (ce site court encore un risque élevé de servir de
support à un délit ou une tentative de délit).

Pour information, les dites obligations (hors du cas que tu évoques
plus haut) sont essentiellement :

- de bloquer l'accès à certains types contenus illicites (notamment
incitation à la haine raciale, pédopornographie) dès qu'il en a
connaissance ;

- de bloquer l'accès à tout contenu faisant l'objet d'une demande
exprimée dans les formes (strictes) prévues par la LCEN ;

- de collecter les éléments d'information permettant d'établir
l'identité des créateurs de contenus hébergés et de remettre ces
informations à l'autorité judiciaire à la demande de celle-ci.

À mon tour d'essayer d'interprêter :-) Je comprends que l'hébergeur,
même payant, n'a aucune responsabilité en cas de piratage d'un site pour
spamer ou faire du phishing.

Il n'en aura plus si, informé selon les conditions prévues dans la LCEN
(entre autres identification du plaignant, identification du site
concerné, qualification juridique du fait reproché), il a promptement
rendu le site inaccessible.

A contrario, s'il a été informé dans les règles mais n'a pas agi
promptement, sa responsabilité sera engagés comme celle du titulaire.

Mais sa responsabilité sera aussi engagée s'il a suspendu le site, puis
l'a rétabli sans avoir pris des garanties raisonnables pour que le
contenu incriminé ne réapparaisse pas.

Amicalement,
--
Albert.

dans (in) fr.misc.droit.internet, siger <guinness@hic.invalid> ecrivait
(wrote) :

Bonjour,

Je comprends que l'hébergeur, même payant, n'a aucune responsabilité en
cas de piratage d'un site pour spamer ou faire du phishing.

Que l'hébergeur soit gratuit ou payant ne change rien à l'affaire. Sa
responsabilité _juridique_ n'est engagée que si ce que fait
(volontairement ou non) son client, est contraire à la loi en vigueur
dans le pays où l'hébergeur est domicilié.

L'hébergeur ne réagira donc _juridiquement_ que si une autorité
judiciaire du pays où il est domicilié l'y enjoint formellement.

Je souligne exprès cet aspect juridique parce nous sommes dans un forum
traitant du droit, mais il est évident que l'hébergeur réagira souvent
avant d'y être invité par la loi s'il constate de la part de son client
des manquements contractuels vis à vis de ses CGU/V (Conditions
Générales d'Utilisation/Vente), par exemple.

Pour dire les choses autrement, si un quidam demande à l'hébergeur de
supprimer tout ou partie de tel ou tel site parce qu'il s'estime
diffamé, il lui sera répondu que seule une demande officielle de la
justice permettra de répondre à sa demande.

Si l'hébergeur constate que le site d'un de ses clients sert à envoyer
du spam ou faire du phishing et que l'hébergeur en question a prévu dans
ses CGU/V que c'était un motif légitime de couper l'accès à ce site
jusqu'à ce que le client ai fait le nécessaire pour résoudre le
problème, l'accés sera coupé.

PS: je suis hébergeur.

--
Eric

Albert ARIBAUD a écrit :

Bon, je vais essayer de développer une réponse qui, par moments,
risque de te sembler s'éloigner de ton problème, mais il le faut
pour que cette réponse soit complète et suffisamment pertinente.

Merci pour ces explications très complètes, mais malheureusement ce
n'est pas ce que je souhaite savoir. J'avoue que je ne voie pas comment
expliquer autrement, si mon premier message n'est pas clair...
J'essaye quand même :

- je ne parle pas du choix technique du webmestre
- ni du fait que le webmestre ait mal corrigé la faille
- Je considère qu'il est normal que le site incriminé soit fermé dans
tous les cas jusqu'à ce que le problème soit résolu.
- Je parle d'un hébergeur qui menace de fermer définitivement un
compte (ou autres "représailles") si le webmestre est trop négligent
(par exemple il attend trop longtemps pour installer une mise à jour),
éventuellement de manière répétée. Il ne s'agit pas ici de plaintes
venant de l'extérieur, mais du rapport entre les 2 parties.

Et ma question : s'il n'y a pas (encore) de mise à jour disponible,
est-ce que l'hébergeur peut tenir rigueur au webmestre si son site sert
à faire du phishing ?

À mon tour d'essayer d'interprêter :-) Je comprends que
l'hébergeur, même payant, n'a aucune responsabilité en cas de
piratage d'un site pour spamer ou faire du phishing.

Il n'en aura plus si, informé selon les conditions prévues dans la
LCEN (entre autres identification du plaignant, identification du
site concerné, qualification juridique du fait reproché), il a
promptement rendu le site inaccessible.

A contrario, s'il a été informé dans les règles mais n'a pas agi
promptement, sa responsabilité sera engagés comme celle du
titulaire.

Mais sa responsabilité sera aussi engagée s'il a suspendu le site,
puis l'a rétabli sans avoir pris des garanties raisonnables pour
que le contenu incriminé ne réapparaisse pas.

De même ici (et la réponse d'Éric le confirme) je n'ai pas été assez
clair : je parlais de la responsabilité de l'hébergeur non pas en aval
du problème (mesures à prendre une fois le problème identifié) mais en
amont (mesures à prendre pour que ça n'arrive pas, d'où la notion de
gratuit/payant).

Peut-être que la question ne se pose pas, s'il est techniquement
impossible de prévenir ça par exemple.

--
siger

dans (in) fr.misc.droit.internet, siger <guinness@hic.invalid> ecrivait
(wrote) :

Bonsoir,

Et ma question : s'il n'y a pas (encore) de mise à jour disponible,
est-ce que l'hébergeur peut tenir rigueur au webmestre si son site sert
à faire du phishing ?

Oui.

C'est même chez nous un motif (détaillé dans nos CGV/U) de suspension du
compte du client, jusqu'à ce qu'il parvienne à corriger le problème et
nous en informe.

J'ajoute que le plus souvent, nous indiquons à notre client ce qui ne va
pas, ce qu'il devrait faire pour corriger le problème, etc.

Une fois le problème résolu, nous rétablissons l'accès.

De même ici (et la réponse d'Éric le confirme) je n'ai pas été assez
clair : je parlais de la responsabilité de l'hébergeur non pas en aval
du problème (mesures à prendre une fois le problème identifié) mais en
amont (mesures à prendre pour que ça n'arrive pas, d'où la notion de
gratuit/payant).

En amont, nous prenons un nombre impressionnant de précautions, au point
de perdre des clients potentiels qui jugent nos règles trop
restrictives, mais je crois l'avoir déjà dit...

En aval, nous gérons au cas par cas, mais c'est plutôt tranquille :)

Peut-être que la question ne se pose pas, s'il est techniquement
impossible de prévenir ça par exemple.

Il est impossible de tout prévoir, on ne peut que surveiller les
utilisateurs, prier pour qu'ils ne fassent pas trop de bétises et réagir
vite s'ils en font :)

--
Eric

Eric Demeester a écrit :

Et ma question : s'il n'y a pas (encore) de mise à jour
disponible, est-ce que l'hébergeur peut tenir rigueur au
webmestre si son site sert à faire du phishing ?

Oui.

C'est même chez nous un motif (détaillé dans nos CGV/U) de
suspension du compte du client, jusqu'à ce qu'il parvienne à
corriger le problème et nous en informe.

J'ajoute que le plus souvent, nous indiquons à notre client ce qui
ne va pas, ce qu'il devrait faire pour corriger le problème, etc.

Une fois le problème résolu, nous rétablissons l'accès.

Décidément je n'arrive pas à me faire comprendre :-) je suppose que la
réponse est "non" car je rappelle que :

" Je considère qu'il est normal que le site incriminé soit fermé dans
tous les cas jusqu'à ce que le problème soit résolu."
Et que comme exemple de "représailles", j'avais donné le fait de fermer
définitivement le site d'un webmestre négligent, éventuellement de
manière répétée.

En tous cas je déduis de votre réponse que faire des mises à jour
régulièrement ne suffit pas, qu'on peut faire des choses en attendant
la future mise à jour pour eviter/corriger un problème. Mais là on sort
du sujet de ce forum.

--
siger