Glossaire anti-leak : LCEN, DMCA, DSA, anti-évasion

LCEN (Loi pour la Confiance dans l'Économie Numérique)

La LCEN est la loi française du 21 juin 2004 qui encadre la responsabilité des hébergeurs et fournisseurs d'accès à Internet.

L'article 6-I-5 de la LCEN définit la procédure de notification de contenu manifestement illicite. Une notification LCEN bien rédigée engage la responsabilité de l'hébergeur s'il maintient le contenu après réception. C'est la procédure de référence pour faire retirer un leak hébergé en France ou dans l'Union européenne. Plus contraignante pour l'hébergeur qu'un DMCA américain quand il s'agit d'un site européen.

Voir aussi : dmca, dsa, takedown-notice

DMCA (Digital Millennium Copyright Act)

Le DMCA est la loi américaine de 1998 qui régit le droit d'auteur sur Internet aux États-Unis.

Le DMCA prévoit une procédure de "takedown notice" qui oblige les hébergeurs américains à retirer un contenu sous 24-72h après notification valide. Très efficace pour les sites hébergés aux USA (Reddit, X, Pornhub, Mega), il n'a aucune valeur légale contraignante pour les hébergeurs européens, qui peuvent y répondre par courtoisie mais n'y sont pas tenus. Un faux DMCA est un crime fédéral aux États-Unis.

Voir aussi : lcen, dsa, takedown-notice

DSA (Digital Services Act)

Le DSA est le Règlement européen 2022/2065 sur les services numériques, applicable depuis février 2024.

Son article 16 impose aux "très grandes plateformes en ligne" (Reddit, X, TikTok, Pornhub, etc.) un mécanisme de notification et action obligatoire dans toute l'UE. Une notification DSA bien rédigée doit être traitée "sans retard injustifié". Le DSA est devenu la procédure principale pour les grandes plateformes en Europe, en complément de la LCEN nationale.

Voir aussi : lcen, dmca, takedown-notice

Takedown notice

Une takedown notice est une demande formelle de retrait d'un contenu en ligne adressée à un hébergeur ou plateforme.

Sa forme et sa portée juridique varient selon le droit applicable : DMCA (USA), LCEN article 6-I-5 (France/UE), DSA article 16 (très grandes plateformes UE). Une notification correctement rédigée doit identifier précisément le contenu, son emplacement (URL), prouver les droits du notifiant et engager sa responsabilité en cas de fausse déclaration.

Voir aussi : lcen, dmca, dsa

Anti-évasion

L'anti-évasion désigne les techniques utilisées par un scanner anti-leak pour détecter du contenu dont le pseudo a été volontairement déformé.

Les leakers utilisent plusieurs méthodes d'obfuscation pour échapper aux scans : homoglyphes (caractères visuellement identiques mais de codages différents, ex. 'а' cyrillique), leetspeak (chiffres remplaçant des lettres), séparateurs alternés (points, tirets, underscores), suffixes (_of, _leak). Un système anti-évasion génère ces variantes du pseudo cible pour les retrouver. Sans anti-évasion, environ deux tiers des leaks récents passent inaperçus.

Voir aussi : homoglyphe, leetspeak

Homoglyphe

Un homoglyphe est un caractère visuellement identique à un autre mais codé différemment dans Unicode.

Exemples : le 'а' cyrillique (U+0430) est visuellement identique au 'a' latin (U+0061), mais Google les considère comme deux caractères différents. Les leakers utilisent ces homoglyphes pour écrire un pseudo qui ressemble à l'original sans déclencher les scans de mots-clés. Les principaux homoglyphes utilisés viennent du cyrillique et du grec. Un bon scanner anti-leak génère systématiquement les versions homoglyphes du pseudo cible.

Voir aussi : anti-evasion, leetspeak

Leetspeak

Le leetspeak est un style d'écriture qui remplace des lettres par des chiffres ou caractères visuellement proches.

Substitutions courantes : a→4, e→3, i→1, o→0, s→5, t→7, b→8. Un leaker écrit 'sarah' comme 's4r4h' ou 'sar4h' pour échapper aux scans textuels. Combiné avec des séparateurs (s4r4h_creatrice) et des homoglyphes, le leetspeak rend la détection automatique très difficile sans algorithme anti-évasion dédié.

Voir aussi : anti-evasion, homoglyphe

Pornodivulgation

La pornodivulgation est la diffusion non consentie d'images à caractère sexuel d'une personne identifiable, sanctionnée par l'article 226-2-1 du Code pénal français.

L'infraction est passible de 2 ans d'emprisonnement et 60 000 € d'amende (article 226-2-1 du Code pénal, créé par la loi de 2016 et renforcé en 2020). Elle s'applique que le contenu ait été initialement consenti ou non, dès lors que la diffusion ne l'est pas. Souvent appelée 'revenge porn' dans le langage courant, le terme juridique français est 'pornodivulgation' ou 'diffusion d'images à caractère sexuel sans consentement'. Une victime peut porter plainte et signaler sur Pharos.

Voir aussi : pharos, lcen

Pharos

Pharos est la plateforme officielle française de signalement des contenus illicites en ligne, opérée par l'OCLCTIC (Office central de lutte contre la criminalité liée aux technologies de l'information et de la communication).

Accessible à internet-signalement.gouv.fr, Pharos centralise les signalements de contenus pédopornographiques, terroristes, racistes, incitatifs à la haine, et de diffusion d'images intimes sans consentement (pornodivulgation, article 226-2-1 du Code pénal). C'est l'instance d'escalade quand un hébergeur refuse de coopérer à une notification LCEN. Les enquêteurs peuvent agir en France et coopérer avec Interpol pour les contenus hébergés à l'étranger.

Voir aussi : lcen, pornodivulgation

KYC (Know Your Customer)

Le KYC désigne les procédures de vérification d'identité d'un client par une entreprise, typiquement par upload de pièce d'identité.

Imposé par la réglementation pour les services financiers, le KYC est en revanche optionnel pour les services SaaS comme Unleak. Notre approche : aucun KYC requis à l'inscription, remplacé par une déclaration sur l'honneur d'être titulaire du compte créateur surveillé. Cette approche minimise la collecte de données sensibles tout en gardant la traçabilité via la carte bancaire et le contrat d'abonnement.

Voir aussi : rgpd

RGPD (Règlement Général sur la Protection des Données)

Le RGPD est le règlement européen 2016/679 sur la protection des données personnelles, applicable depuis mai 2018.

Il impose à toute entreprise traitant des données de citoyens européens des obligations strictes : finalité explicite, base légale, durée limitée de conservation, droits d'accès / rectification / effacement, sécurité par défaut. Un service anti-leak qui collecte vos images de référence et pseudos doit être 'RGPD natif' : données hébergées en UE, pas de transfert hors UE sans encadrement, politique de confidentialité claire. Le Data Privacy Framework (DPF) UE-USA encadre certains transferts vers les USA.

Voir aussi : kyc, lcen

Désindexation

La désindexation est le retrait d'une URL des résultats d'un moteur de recherche (typiquement Google), sans suppression du contenu sur le site source.

Procédure complémentaire au retrait à la source : un contenu reste en ligne sur le site pirate mais ne ressort plus dans Google. Effectuée via le formulaire Google de suppression de contenu (Search Console) ou par une notification LCEN/DMCA spécifique pour la désindexation. Très utile quand l'hébergeur refuse de retirer le contenu mais que Google accepte de le désindexer.

Voir aussi : lcen, dmca