QR-SafeScan : un moteur anti-hameçonnage qui n’a jamais besoin de faire confiance au réseau

Un QR code ne fournit aucun signal visuel sur sa destination — la barre d’adresse du navigateur, que l’on consulterait normalement, n’existe pas encore au moment du scan. Cela crée ce que la recherche appelle une asymétrie d’information: l’attaquant connaît la destination, la victime non, jusqu’à ce qu’il soit trop tard. Les solutions existantes imposaient un choix impossible entre deux modes d’échec :

• Les scanners caméra basiques — instantanés, mais sans aucune vérification de sécurité ; ils ouvrent simplement le lien.
• Les applications antivirus « lourdes » — une vraie détection, mais qui journalise chaque scan sur un compte cloud, sacrifiant la vie privée au profit de la sécurité.

Personne ne proposait de scanner léger offrant une protection réelle sanssurveiller les habitudes de scan de l’utilisateur — c’est exactement ce vide que le mémoire cherchait à combler.

SafeScan repose sur un modèle à deux niveaux. Environ 90 % du travail s’effectue directement sur le téléphone, via le moteur Hermes JS de React Native — non pas parce qu’un serveur serait trop coûteux, mais parce qu’un serveur qui ne reçoit jamais vos données ne peut ni les divulguer, ni être perquisitionné, ni être compromis avec elles.

Les trois sources externes ont chacune été choisies pour combler une lacune précise : Google Safe Browsing pour sa rapidité et la plus grande liste noire de phishing au monde, VirusTotal pour sa profondeur — un consensus entre plus de 70 moteurs antivirus, ce qui évite qu’un seul moteur trop zélé ne génère un faux positif — et AlienVault OTX pour les menaces issues de la communauté, pas encore répertoriées par les fournisseurs commerciaux.

L’équipe n’a pas démarré avec ce design. Le plan initial reposait sur un serveur middleware Node.js centralisé : le client envoie l’URL, le serveur interroge chaque API de menace séquentiellement, puis répond. Cela ressemblait au choix conventionnel et sûr. Deux semaines plus tard, ce choix échouait sur les deux critères les plus importants du projet :

• Latence. Les appels API séquentiels (Google → VirusTotal → OTX) faisaient dépasser 5 secondes au temps de scan — bien au-delà du seuil de ~2 secondes à partir duquel les utilisateurs abandonnent un outil de sécurité au profit de la commodité.
• Confidentialité.Un serveur central par lequel transite chaque scan est, par définition, un honeypot — exactement ce que la promesse « stateless » du mémoire cherchait à éviter.

La correction fut architecturale, pas incrémentale : déplacer l’orchestration côté client et déclencher les trois appels API en parallèle avec Promise.allSettled. Le temps d’attente total passe de la somme des trois appels au temps du plus lent d’entre eux seul — le temps de verdict est tombé de ~1,76 s à ~0,92 s, une amélioration de 48 %, et il n’y avait plus de serveur intermédiaire à compromettre.

// Séquentiel (legacy) : Google (350ms) + VirusTotal (900ms) + OTX (500ms) ≈ 1,76s
// Parallèle (SafeScan) : max(350ms, 900ms, 500ms) ≈ 0,92s — borné par l'appel le plus lent

const results = await Promise.allSettled([
  checkGoogleSafeBrowsing(url),
  checkVirusTotal(url),
  checkAlienVaultOTX(url),
]);
// Une API en échec/limitée (ex. limite VirusTotal de 4 req/min en offre gratuite)
// ne fait pas planter le scan — les deux autres résultats se résolvent quand même.

Contrairement à une API de liste noire, le moteur local raisonne sur les propriétésd’une URL — ce qui lui permet de détecter des menaces jamais vues auparavant.

for (const legit of LEGITIMATE_DOMAINS) {
  const distance = levenshtein(mainDomain, legitMain);
  if (distance > 0 && distance <= 2 && mainDomain !== legitMain) {
    return { type: "TYPOSQUATTING", severity: "HIGH",
             message: `Possible typosquatting of ${legit}` };
  }
}

const HOMOGRAPH_CHARS = {
  'a': ['а', 'ɑ', 'α'],  // Correspondances visuelles cyrilliques / grecques
  'c': ['с', 'ϲ'],
  'e': ['е', 'ė'],
  // ...
};

La première version testable affichait les résultats bruts sous forme d’objet JSON. Les testeurs bêta trouvaient des termes comme « Heuristic Match » ou « DNS A-Record » intimidants et appuyaient sur « Ignorer » par confusion — un véritable échec UX pour un outil dont la mission entière est de changer un comportement en une fenêtre de deux secondes. La correction a réduit un verdict à trois variables (score de risque, résultat API, nombre d’heuristiques) en un seul signal familier :

• Vert — Sûr. Aucune heuristique déclenchée, ou la couche API a confirmé que le lien est sain.
• Jaune — Suspect. Un signal mineur (ex. un raccourcisseur d’URL) sans résultat API concluant ; l’utilisateur peut continuer avec un avertissement visible.
• Rouge — Dangereux. Confiance > 90 % (ex. un positif VirusTotal, ou un schéma de phishing connu). Le bouton « Ouvrir le lien » est désactivé par défaut pour éviter un clic accidentel.

« Stateless » est un mot facile à écrire dans un README et difficile à prouver. L’équipe a simulé un scénario de saisie de serveur — 100 scans malveillants, suivis d’un audit de la mémoire d’exécution et des journaux serveur. Résultat : aucune URL scannée ni adresse IP n’a persisté nulle part après la fermeture de la transaction HTTP. Combiné au design à deux niveaux, environ 95 % des scans réels (les URL clairement sûres ou clairement dangereuses) ne génèrent aucune requête réseau — seuls les ~5 % ambigus atteignent une API externe.

Testé sur un appareil Android de milieu de gamme (Pixel 6a) via une connexion 4G LTE standard.

Quatre sprints Agile Action Learning de deux semaines, après qu’un plan Waterfall initial se soit révélé trop rigide pour un problème aussi exploratoire. La sécurité a été intégrée au processus, pas ajoutée après coup : modélisation des menaces STRIDE avant d’écrire du code, plugins de sécurité ESLint détectant des problèmes comme les ReDoS dans la logique de validation, GitHub Actions exécutant la suite de 112 tests unitaires à chaque pull request, et une matrice de risque probabilité-impact qui, par exemple, avait anticipé la limite de 4 requêtes/minute de VirusTotal en offre gratuite et ajouté préventivement un cache local de 5 minutes.