Exiger une transition explicite avant toute sortie d’un chat privé
Une conversation privée ne doit pas devenir une recommandation ou un objet public simplement parce qu’elle a été enregistrée, résumée, ajoutée aux favoris, transformée en mémoire ou ouverte ailleurs. Traitez la confidentialité comme une règle de routage. Attribuez à chaque objet un état : source privée, dérivé privé, brouillon à relire, partage limité ou public. Placez ensuite les surfaces en colonnes : suggestions dans le chat, accueil, notifications, recherche, profil, aperçu de partage, page publique et amélioration du modèle. Pour chaque route, notez autorisation, action requise, aperçu et retour arrière. Une inférence, un extrait, une pièce jointe, un titre ou un résumé ne doit jamais hériter d’un public plus large du seul fait de son traitement. Testez les blocages avec un contenu unique mais banal avant d’utiliser des éléments sensibles.
Inventorier la source et chaque objet dérivé
Séparez texte du dialogue, pièce jointe, transcription, titre automatique, résumé, mémoire, étiquette, enregistrement de recherche, signal de contrôle, extrait de notification, aperçu, export et publication. Ajoutez source, état, responsable, audience et conservation. Un résumé issu d’une source privée peut garder une date rare, une relation ou un détail reconnaissable. L’OWASP classe la divulgation d’informations sensibles par les sorties ou composants connectés parmi les risques et cite minimisation, nettoyage et restriction des accès. Un dérivé ne devient donc pas automatiquement moins sensible. Il conserve la frontière la plus étroite de la source jusqu’à ce que la personne voie le résultat exact et accepte son nouveau public.
Construire la table entre état et surface
Mettez les états en lignes. Source et dérivé privés sont bloqués pour profil public, découverte, lien ouvert et recommandation promotionnelle. Un brouillon n’apparaît que dans un aperçu privé du même compte. Le partage limité a des destinataires nommés et une révocation. Le public demande une publication volontaire après aperçu final. Décomposez aussi la recommandation : influencer un classement personnel, afficher un extrait et recommander le contenu à d’autres sont trois routes. Chaque cellule vaut autorisé, bloqué ou inconnu, avec sa preuve. Inconnu ne signifie pas accepté. Si l’information actuelle ne répond pas, gardez la route fermée ou n’y placez pas de contenu sensible.
Afficher le résultat, l’identité et l’audience avant la transition
L’aperçu doit montrer le texte ou média final, le compte visible, la destination, le public, la portée du lien, le téléchargement et tout titre, miniature ou extrait généré. Regardez le rendu après traitement, car recadrage, cartes et notifications peuvent révéler des éléments hors sélection. Une personne présente dans la conversation privée n’a pas automatiquement accepté ce nouveau public. Les conseils de la FTC rappellent qu’un contenu en ligne peut circuler et être copié. Un simple avertissement ne suffit pas : l’annulation doit être claire et laisser la source dans son état privé, sans URL, aperçu public ni notification créée en arrière-plan.
Séparer recommandation, notification, partage et amélioration
Ne regroupez pas classement, aperçu de notification, découverte de contacts, publication, lien, pièce jointe de retour et amélioration du modèle sous un seul bouton. Notez si chaque commande agit à l’avenir ou traite aussi les dérivés existants. Retirer la découverte publique ne révoque pas forcément un ancien lien ; supprimer un post ne retire pas nécessairement un dossier de retour ; couper les notifications n’efface pas un titre dans l’historique. Le cadre du NIST invite à suivre cycle et acteurs connectés. Conservez donc les états de création, recommandation, affichage, partage et suppression, plutôt qu’un score global qui masquerait leurs propriétaires différents.
Tester les routes bloquées et le retour après annulation
Créez une conversation avec phrase unique inoffensive et pièce jointe neutre. Gardez-la privée, puis inspectez accueil, recherche, notifications, profil, sélecteur de partage et vue déconnectée. Aucun texte, titre ou fichier ne doit apparaître dans une cellule bloquée. Créez ensuite un brouillon et annulez avant publication ; vérifiez qu’il n’existe ni URL, ni aperçu, ni notification, ni activité d’abonné. Un partage limité se teste uniquement vers une adresse contrôlée, puis se révoque. Notez version, compte, appareil, route, heure et résultat visible. Si une sortie inattendue apparaît, limitez l’objet, révoquez le lien, suspendez la fonction et examinez les autres appareils. N’affirmez pas qu’une suppression récupère les captures ou téléchargements.
Questions fréquentes
Un chat privé peut-il influencer une recommandation sans montrer son texte ?
Cela dépend du service. Traitez influence sur le classement et affichage d’un extrait comme deux routes.
Un avertissement avant publication suffit-il ?
Non. Il faut aussi montrer le résultat exact, le compte, la destination, l’audience et une annulation claire.
Supprimer une erreur efface-t-il toutes les copies ?
Non. Téléchargements, captures, aperçus et caches peuvent suivre d’autres chemins.