Séparer identité, découvrabilité et graphe social dans une application de compagnie

Distinguer le compte de l’identité civile

Commencez par lister les éléments nécessaires au fonctionnement du compte. Un identifiant interne ou un pseudonyme peut suffire pour enregistrer des préférences, alors qu’un nom complet, un numéro personnel ou une adresse déjà utilisée ailleurs crée un pont vers la vie hors application. La question utile n’est pas « cette donnée est-elle secrète ? », mais « permet-elle de me retrouver ou de combiner ce compte avec un autre ensemble de données ? ». Apple indique d’ailleurs que des données sont liées à l’identité lorsqu’elles sont rattachées à un compte, un appareil ou d’autres détails, sauf protections spécifiques prises avant la collecte. Inscrivez donc séparément le nom affiché, l’identifiant de connexion, l’identifiant technique et le moyen de récupération.

Vérifiez aussi les valeurs copiées automatiquement depuis une connexion tierce : photo, nom public, adresse principale ou liste de services associés. Un bouton de connexion pratique peut importer une identité plus riche que celle requise pour l’usage prévu. Si l’application propose plusieurs options, choisissez celle qui expose le moins d’éléments réutilisés ailleurs. Ne créez pas une fausse biographie détaillée : fournissez simplement le minimum cohérent, puis notez dans le registre ce qui est obligatoire, ce qui est facultatif et ce qui peut être modifié plus tard.

Tester la découvrabilité avec une autre session

La découvrabilité décrit ce qu’une autre personne peut trouver à partir d’une information qu’elle possède déjà. Google explique, par exemple, que ses réglages de découverte de profil peuvent déterminer ce qu’une personne voit lorsqu’elle recherche un numéro de téléphone ou une adresse e-mail. Dans une application de compagnie, examinez donc séparément la recherche par nom, coordonnées, code d’invitation, lien partagé et suggestion automatique. Configurez le profil pour un public précis, puis utilisez une autre session sans historique : cherchez chaque identifiant, ouvrez un ancien lien et observez le nom, la photo, les abonnements ou les contacts communs affichés.

Notez le résultat réel au lieu de vous fier au libellé du réglage. « Privé » peut concerner les publications sans masquer la photo dans une invitation ; « contacts seulement » peut inclure des personnes synchronisées par l’autre partie. Recommencez le test après avoir changé le nom visible ou désactivé une option. Ce contrôle extérieur montre aussi si une modification se propage immédiatement ou si une ancienne valeur demeure dans un aperçu, une notification ou une invitation déjà envoyée.

Accorder les contacts par sélection, pas par réflexe

Un carnet d’adresses n’est pas une simple liste d’amis : il peut contenir des proches, des collègues, des commerces, des personnes rencontrées une fois, ainsi que des notes ou des libellés privés. Apple décrit les contacts comme pouvant inclure le carnet du téléphone ou un graphe social et permet, sur les versions prises en charge d’iOS, de choisir les contacts accessibles à une application. Lorsque l’accès limité est disponible, sélectionnez uniquement les personnes nécessaires à l’action immédiate. Sinon, préférez un code ou un lien envoyé volontairement à une personne plutôt qu’une importation intégrale.

Avant d’autoriser, recherchez une explication concrète : quelles propriétés sont lues, sont-elles téléversées, servent-elles seulement à proposer une invitation, combien de temps restent-elles conservées et que devient une personne retirée ? Une promesse vague comme « trouver vos amis » ne répond pas à ces questions. Après l’usage, retirez l’accès au niveau du système et observez l’application. La permission coupée empêche un nouvel accès, mais elle ne démontre pas à elle seule que des données déjà copiées ont disparu. Cette différence doit rester visible dans votre registre.

Cartographier le graphe social sans recopier le carnet

Même sans afficher les coordonnées, une application peut révéler un graphe : qui a invité qui, quelles personnes sont suggérées ensemble, qui partage un groupe, une localisation habituelle ou un rythme d’activité. Dessinez seulement les relations techniques utiles, sans recopier les noms. Pour chaque lien, notez sa source — contact sélectionné, invitation, groupe, interaction ou inférence — puis son public visible. Une suggestion « vous connaissez peut-être » mérite la même attention qu’une liste publique, car elle peut rapprocher deux contextes que vous vouliez garder séparés.

Évaluez ensuite les personnes concernées. Votre choix d’importer un numéro expose aussi un élément appartenant à quelqu’un d’autre. Évitez donc les invitations automatiques, les notifications envoyées à tout le carnet et les fonctions qui publient une présence sans confirmation claire. Si une fonction sociale n’est pas essentielle, désactivez-la avant de créer des habitudes ou des groupes. Le cadre de confidentialité du NIST est utile ici : cartographier les données, leurs finalités, les acteurs et les interactions permet de voir un risque relationnel que l’examen d’un écran isolé manquerait.

Vérifier les ponts entre profils, appareils et liens

Un accès externe peut transmettre un nom, une photo, une adresse ou un identifiant stable et relier le profil de l’application à un compte déjà connu. Examinez les champs au moment de la connexion, puis les commandes aux deux extrémités. Changer le nom affiché se propage-t-il ? Retirer l’accès externe supprime-t-il seulement une méthode de connexion ou aussi le lien de profil ? Conservez ces réponses dans le registre sous « déclencheur » et « test de retour arrière ». Elles concernent le rapprochement d’identité visible, et non l’inventaire général des prestataires.

Contrôlez ensuite les appareils et les liens. Une restauration ou une nouvelle connexion peut remettre une ancienne photo, une option de découverte ou des suggestions de contacts. Un lien de profil ou de conversation peut afficher une attribution dans son aperçu avant même l’ouverture. Testez sans publier : regardez l’aperçu déconnecté, modifiez un champ facultatif, retirez le lien ou l’appareil, puis observez ce qui change après le délai annoncé. Marquez chaque pont comme actif, fermé ou non vérifiable.

Fermer la boucle avec un reçu de révocation

Terminez par un test de retour arrière, pas par un simple changement de bouton. Retirez l’accès aux contacts dans le système, désactivez la découverte par coordonnées, supprimez les invitations actives, changez ou retirez les éléments de profil facultatifs, puis refaites les recherches depuis l’autre session. Contrôlez également les groupes, les suggestions et les anciens liens. Le reçu peut tenir sur une page : réglage modifié, date, surface testée, résultat observé et reste inconnu. N’y recopiez ni numéros ni noms de proches.

Ce reçu transforme une promesse abstraite en vérification répétable. Il permet de distinguer une valeur masquée, une permission révoquée et une donnée effectivement supprimée lorsque l’application fournit cette commande. Si vous cessez d’utiliser le service, consultez aussi la procédure de suppression du compte et les copies exportées ou sauvegardées. La meilleure configuration est celle où l’usage quotidien reste possible sans ouvrir en permanence tous les chemins d’identification.

Continuer sur ce thème