Warrant canary : pourquoi il existe et comment le vérifier

Notre premier warrant canary datait du 1er octobre 2021. Depuis, nous en publions un chaque trimestre : texte daté, signé avec une clé dédiée, répété à heure fixe. Cet article explique pourquoi un hébergeur qui ne stocke rien en publie quand même — et comment vérifier le nôtre sans nous faire la moindre confiance.

Définition : un canari, pas un certificat

Un warrant canary est une déclaration régulière d'absence : « à ce jour, nous n'avons reçu ni ordonnance assortie d'une interdiction de révélation, ni demande de saisie matérielle, ni injonction de surveillance ». Le principe vient des États-Unis, où certaines injonctions — les National Security Letters — interdisent formellement d'informer la cible : on ne peut pas dire qu'on a reçu une telle lettre, mais rien n'interdit de cesser de dire qu'on n'en a pas reçu. Le canari fonctionne donc par disparition : tant qu'il chante, tout va — du point de vue qu'il couvre.

Un canari n'est pas une preuve cryptographique d'innocence. C'est un engagement de format : une phrase précise, signée, datée, répétée à intervalle régulier. Sa force tient à la régularité et à la vérifiabilité — pas à la magie.

Pourquoi un hébergeur « zéro log » en publie un

Nous ne conservons ni log, ni identité, ni moyen de paiement nominatif. Reste ce qu'aucune politique de logs ne peut éliminer : la saisie matérielle — un hyperviseur saisi dans un centre de données n'a pas besoin de nos logs pour être lu —, les ordonnances visant la plateforme elle-même, ou une injonction de bâillon visant… le canari. La vigilance n'est pas un état que l'on déclare une fois : c'est une pratique répétée.

Le canari nous discipline aussi, et c'est peut-être sa fonction la plus utile. Écrire chaque trimestre, en conscience, « rien à signaler » force une revue interne formelle : juridiction par juridiction, demandes reçues, demandes rejetées, tickets sensibles. C'est devenu notre audit de transparence interne — celui que personne ne nous impose et que nous nous imposons.

Vérifier notre canari en trois commandes

Chaque canari est publié en texte brut accompagné d'une signature OpenPGP, avec une clé de transparence créée avant le lancement du service — en avril 2021 — et inchangée depuis. Empreinte complète :

Deux précisions pour les paranoïaques raisonnables. Premièrement : récupérez la clé depuis un serveur de clés public, pas depuis notre site — sinon nous pourrions signer n'importe quoi avec n'importe quelle clé et vous ne le verriez pas. Deuxièmement : la vérification prouve que le texte est signé par le détenteur de cette clé depuis 2021 ; elle ne prouve pas que la clé n'a pas changé de mains. C'est pourquoi l'empreinte est répétée dans chaque canari et sur la page dédiée depuis avril 2021, sans jamais avoir varié d'un seul caractère. Si elle change, fuyez.

La cadence et les canaris passés

Publication le premier vendredi de janvier, avril, juillet et octobre, à 12 h 00 UTC précises. Un canari publié avec plus de 48 heures de retard doit être considéré comme compromis : cette règle est écrite noir sur blanc sur la page du canari, ce qui nous engage publiquement.

Le prochain canari — Q1 2023 — doit paraître le 7 avril 2023 à 12 h 00 UTC. Il est déjà rédigé et contresigné par deux membres de l'équipe : l'astreinte canari est prise au sérieux, au point que sa non-exécution déclencherait elle-même une alerte interne.

Les limites, honnêtement

Trois limites méritent d'être écrites, parce qu'un canari présenté sans elles serait de la cosmétique.

• Le canari ne couvre pas les demandes rejetées. La grande majorité de ce que nous recevons — plaintes DMCA étrangères, signalements automatiques — est rejetée avant même d'atteindre le seuil légal. Le canari couvre les ordonnances secrètes et bâillons, pas le courrier public que nous refusons.
• Une juridiction peut s'attaquer au canari lui-même. Si une ordonnance nous obligeait à mentir dans le canari, nous ne pourrions ni le dire ni le signer honnêtement. Notre parade principale reste le mécanisme de retrait : retard de plus de 48 heures = canari compromis, règle publique et vérifiable par tous.
• La couverture est par juridiction. Chaque canari détaille, pays par pays, ce qui a été reçu où — Rotterdam, Bucarest, Reykjavik, Zurich, Panama City, Moscou. Une absence globale masquerait trop ; une absence par pays raconte juste.

Le canari vivant — texte courant, signature, historique et état de vérification — est sur la page dédiée. Ne nous croyez pas sur parole : c'est précisément le point.