Télécharger un logiciel expose à des risques que la plupart des utilisateurs sous-estiment. Un faux site officiel, un installeur modifié ou une simple case précochée suffisent à compromettre un ordinateur. Les mécanismes de vérification intégrés aux systèmes d’exploitation et aux gestionnaires de paquets réduisent ces risques, mais leur efficacité varie selon le canal de téléchargement choisi.
Signature numérique et gestionnaire de paquets : comparatif des canaux de téléchargement
Tous les canaux de téléchargement ne se valent pas. Certains vérifient automatiquement l’intégrité du fichier, d’autres laissent l’utilisateur seul face à un installeur dont il ne peut pas confirmer l’origine.
| Canal | Vérification automatique de l’empreinte | Signature éditeur contrôlée | Risque de logiciel modifié |
|---|---|---|---|
| winget (Windows Package Manager) | Oui | Oui | Faible |
| Microsoft Store | Oui (SmartScreen intégré) | Oui | Faible |
| Ninite | Oui | Oui | Faible |
| Site officiel de l’éditeur | Non (manuelle via hash) | Variable selon l’éditeur | Modéré |
| Site tiers / miroir non officiel | Non | Non | Élevé |
Un relevé portant sur 14 logiciels gratuits montre que 11 sur 14 sont disponibles dans winget et que 9 des 11 présents dans winget disposent d’une signature reconnue par Windows. Six figurent aussi dans le Microsoft Store. Ces chiffres confirment que les gestionnaires de paquets couvrent désormais la majorité des outils courants.
Quand vous cherchez à installer un logiciel en toute sécurité, le choix du canal compte autant que le choix du logiciel lui-même.
Faux sites officiels et installeurs piégés : les écarts de risque entre sources
Fin octobre 2022, une publicité Google pour GIMP affichait l’adresse gimp.org. Le clic redirigeait vers gilimp.org, un clone hébergeant un installeur de 700 Mo qui dissimulait Vidar, un voleur de mots de passe. L’écart entre le site affiché et le site réel tenait à une seule lettre.
Ce type d’attaque exploite la confiance visuelle. Le nom de domaine ressemble à l’original, le design du site est copié, et le fichier proposé porte le nom attendu. La vérification du nom de domaine lettre par lettre reste le premier réflexe avant tout téléchargement depuis un moteur de recherche.
Vérifier l’empreinte du fichier avant exécution
La plupart des éditeurs de logiciels libres publient l’empreinte (hash SHA-256 ou MD5) de leurs fichiers de téléchargement. Sur les 8 logiciels libres du relevé mentionné plus haut, 7 publient leur empreinte sur leur page officielle. Aucun éditeur commercial ne fait de même sur ses pages publiques.
Vérifier cette empreinte prend moins d’une minute sous Windows avec la commande certutil -hashfile dans l’invite de commandes. Si le hash ne correspond pas, le fichier a été modifié entre le serveur de l’éditeur et votre machine.
- Récupérez le hash publié sur le site officiel de l’éditeur (pas sur un forum ou un site tiers)
- Ouvrez l’invite de commandes et tapez : certutil -hashfile chemin_du_fichier SHA256
- Comparez les deux chaînes de caractères : elles doivent être strictement identiques
- En cas de doute, soumettez l’empreinte sur VirusTotal avant d’envoyer le fichier lui-même, pour éviter de partager un document potentiellement sensible
Alertes SmartScreen et applications non signées sous Windows
Quand Windows affiche le message « Windows a protégé votre ordinateur », SmartScreen signale que l’application n’est pas reconnue ou que sa signature est absente. Ce filtre bloque par défaut les exécutables sans réputation établie.
Désactiver SmartScreen pour forcer l’installation est une erreur fréquente. Une alerte SmartScreen ne signifie pas que le fichier est dangereux, mais qu’il n’a pas été vérifié. La différence est notable : un logiciel légitime mais peu téléchargé déclenchera la même alerte qu’un malware récent.
Que faire face à une alerte
Avant de cliquer sur « Exécuter quand même », deux vérifications s’imposent :
- Confirmez que le fichier provient bien du site officiel de l’éditeur (vérifiez l’URL dans l’historique de téléchargement du navigateur)
- Faites un clic droit sur le fichier, ouvrez les propriétés, puis l’onglet « Signatures numériques » : le nom de l’éditeur doit correspondre au développeur attendu
- Si aucune signature n’apparaît et que le logiciel n’est pas open source, abandonnez l’installation et cherchez une alternative dans winget ou le Microsoft Store
Cyber Resilience Act : ce que le règlement européen change pour les mises à jour logicielles
La sécurité d’un logiciel ne se joue pas uniquement au moment du téléchargement. Un logiciel non maintenu accumule des vulnérabilités que les attaquants exploitent des mois après l’installation.
Le règlement européen sur la cyberrésilience (Cyber Resilience Act, règlement UE 2024/2847) impose aux éditeurs de produits numériques des obligations de suivi. Les obligations de signalement de vulnérabilités s’appliquent à partir du 11 septembre 2026. L’application principale du règlement, couvrant les exigences de sécurité sur le cycle de vie des produits, entre en vigueur le 11 décembre 2027.
Les logiciels open source ne sont pas automatiquement exemptés. Le règlement couvre aussi certains logiciels distribués indépendamment, avec des obligations qui varient selon le rôle de l’acteur et le mode de distribution. Un logiciel gratuit maintenu par une fondation commerciale peut tomber dans le champ d’application.
Ce cadre réglementaire donne un critère de sélection concret : privilégiez les éditeurs qui publient un calendrier de mises à jour et un processus de signalement de failles. Un logiciel dont la dernière mise à jour remonte à plus d’un an, sans mention de politique de sécurité, présente un risque croissant avec le temps.
Le canal de téléchargement, la vérification de l’empreinte et le suivi des mises à jour forment trois filtres complémentaires. Un seul ne suffit pas. La donnée la plus parlante reste celle du relevé : sur 14 logiciels testés, 11 passent par winget avec une vérification automatique. Pour la majorité des installations courantes, c’est le chemin le plus court vers un poste de travail fiable.
