Le danger n’est presque jamais un virus : c’est l’installeur emballé, rémunéré à chaque programme qu’il glisse sur votre machine. Voici la mécanique, les quatre sources possibles et les gestes qui coupent court.
Le risque principal, quand vous installez un logiciel, n’est pas le virus : c’est l’installeur emballé. Un petit fichier de quelques mégaoctets télécharge le vrai programme et y ajoute des barres d’outils, un moteur de recherche imposé et des utilitaires qui réclameront un paiement. Ce commerce, rémunéré à chaque installation réussie, reste sous le radar des antivirus, qui ne le classent pas comme une menace. La parade tient en trois gestes : partir du site de l’éditeur ou du magasin du système plutôt que d’un résultat sponsorisé, choisir l’installation personnalisée, et relire la liste des programmes installés après coup.
Vous cherchez un logiciel gratuit dans un moteur de recherche. Les deux premiers résultats portent la mention « Annonce ». Le site qui s’ouvre reprend le logo, la couleur et le nom du programme, affiche un gros bouton vert, et livre un fichier de 2 Mo alors que le logiciel en pèse quarante. Ce fichier n’est pas le logiciel. C’est un installeur qui ira chercher le vrai programme, et qui en profitera pour en poser trois autres.
Rien de tout cela ne relève du piratage. C’est un modèle économique organisé, la rémunération à l’installation : chaque programme déposé sur votre machine rapporte quelques dizaines de centimes à celui qui l’a glissé dans le paquet. L’antivirus ne bronche pas, parce qu’il n’y a, au sens strict, aucun virus. Vous avez cliqué sur « Suivant », vous avez accepté.
La protection se joue donc avant le téléchargement, pas après. Elle tient dans une seule question : qui a vérifié ce fichier avant qu’il n’arrive sur votre disque ?
Acheter une annonce sur le nom d’un logiciel gratuit coûte quelques centimes par clic. Si un visiteur sur cent installe le paquet et que chaque installation rapporte davantage, l’opération est rentable. C’est pourquoi les campagnes d’annonces frauduleuses visent en priorité les logiciels très recherchés et gratuits : lecteurs multimédias, outils de compression, éditeurs de texte, pilotes d’imprimante.
Le seul indice fiable est le nom de domaine. Les faux sites en jouent : ajout d’un suffixe géographique, d’un mot comme « download » ou « officiel », remplacement d’une lettre par une autre visuellement proche, extension exotique. Savoir lire une URL jusqu’au dernier point avant la première barre oblique règle la majorité des cas, y compris quand la page est une copie pixel pour pixel du site d’origine.
Le second piège se trouve sur la page de téléchargement elle-même, quand elle est légitime mais financée par la publicité. Les encarts publicitaires y imitent des boutons « Télécharger ». Le vrai lien est souvent plus petit, plus haut, ou en texte simple.
Toutes les origines ne se valent pas, et la différence n’est pas une question de confiance mais de contrôle effectué avant vous.
| Source | Qui vérifie avant vous | Risque de greffon | Mises à jour |
|---|---|---|---|
| Magasin du système | Analyse automatisée, identité de l’éditeur, cloisonnement des applications | Très faible | Automatiques et centralisées |
| Site officiel de l’éditeur | L’éditeur seul, s’il est bien celui qu’il prétend être | Faible à moyen selon le modèle économique | Intégrées au logiciel, à vérifier |
| Gestionnaire de paquets ou dépôt signé | Empreinte cryptographique vérifiée à chaque installation | Très faible | Automatiques, tous logiciels en une commande |
| Portail de téléchargement tiers | Personne : le portail vit de ce qu’il ajoute | Élevé, c’est le modèle même | Aucune, souvent une version ancienne |
| Lien reçu par message ou par annonce | Personne | Maximal | Sans objet |
Le gestionnaire de paquets est la source la mieux vérifiée et la moins connue du grand public. Les distributions Linux fonctionnent ainsi depuis toujours, chaque paquet étant signé par le dépôt et l’empreinte contrôlée automatiquement. Windows dispose désormais d’un outil équivalent en ligne de commande, et macOS d’un équivalent communautaire très répandu. Ce point fait partie des vraies différences entre systèmes, traitées dans le choix entre Windows, macOS et Linux.
L’argument décisif en faveur d’une source unique n’est pas l’installation, c’est la suite. Un logiciel installé depuis un magasin ou un dépôt se met à jour sans que vous y pensiez, ce qui réduit la fenêtre d’exposition entre la publication d’un correctif et son application. Un logiciel récupéré sur un portail tiers reste figé à la version du jour de son téléchargement.
Quant au lien reçu par message, il n’a jamais de raison légitime d’exister. Une facture ne s’ouvre pas avec un programme à installer, et un service ne demande pas d’exécutable par courriel : c’est le ressort classique de l’hameçonnage.
Un logiciel signé porte un certificat qui garantit deux choses : le fichier n’a pas été modifié depuis sa signature, et il a été signé par une entité dont l’identité a été contrôlée par une autorité de certification. C’est beaucoup, et c’est tout.
La signature ne dit rien de la qualité ni de l’honnêteté du programme. Les éditeurs de logiciels publicitaires sont des sociétés déclarées, qui achètent leur certificat comme tout le monde. Un installeur qui impose un moteur de recherche et injecte de la publicité passe donc les contrôles sans alerte.
Inversement, un avertissement « éditeur inconnu » ne signifie pas « dangereux ». Un certificat de signature coûte de l’ordre de quelques centaines d’euros par an, une dépense que beaucoup de petits projets libres ne consentent pas. Le système ajoute par ailleurs un critère de réputation : un programme signé mais téléchargé par peu de monde déclenche un avertissement qui disparaîtra de lui-même quelques semaines plus tard.
Le mécanisme est industrialisé. Des régies spécialisées proposent aux éditeurs de logiciels gratuits d’emballer leur programme dans un installeur maison. À chaque installation aboutie, l’éditeur touche une commission, variable selon le pays de l’utilisateur : les postes situés en Europe de l’Ouest et en Amérique du Nord valent plusieurs fois ceux du reste du monde, parce qu’ils rapportent davantage en revenus publicitaires ensuite.
Tout le dispositif d’interface vise à obtenir un clic sur « Suivant ». Les offres additionnelles sont pré-cochées. Le bouton de refus est plus pâle, plus petit, parfois libellé « Installation personnalisée » alors que l’autre s’appelle « Installation recommandée ». Certains écrans ressemblent à une clause contractuelle et non à une offre. D’autres réapparaissent si vous refusez une première fois.
Ce que ces greffons font ensuite est prévisible : remplacer le moteur de recherche et la page d’accueil du navigateur, ce qui détourne vos requêtes vers une régie ; insérer des publicités dans les pages que vous consultez, ce qui alimente la chaîne du ciblage publicitaire ; lancer au démarrage un utilitaire qui annonce des centaines d’erreurs et propose de les corriger contre paiement. Sur une machine modeste, l’accumulation se voit immédiatement au démarrage, un symptôme détaillé dans notre diagnostic de l’ordinateur lent.
Une extension de navigateur demande le plus souvent l’autorisation de « lire et modifier toutes vos données sur les sites que vous consultez ». Cette permission est presque totale : elle donne accès au contenu des pages affichées, donc à ce que vous lisez, tapez et voyez une fois connecté.
Le risque particulier des extensions tient à leur cycle de vie. Elles se mettent à jour automatiquement, sans nouvelle demande d’autorisation. Une extension honnête, développée par un passionné puis revendue, peut donc changer de comportement du jour au lendemain sur des dizaines de milliers de navigateurs, sans que personne ne clique sur quoi que ce soit.
La règle pratique en découle : peu d’extensions, aucune extension installée pour un usage ponctuel, et une revue deux fois par an pour retirer celles dont vous avez oublié l’existence. Toute extension gratuite se finance d’une manière ou d’une autre, question qui rejoint celle des modèles économiques du logiciel.
Les magasins d’applications mobiles apportent trois garanties que l’ordinateur n’a jamais eues : un examen préalable, un cloisonnement strict entre applications, et un système de permissions accordées à l’usage. C’est la raison pour laquelle le logiciel indésirable classique est rare sur mobile, et pourquoi la vigilance se déplace vers les autorisations demandées par les applications.
Deux évolutions changent la donne. Android autorise depuis longtemps l’installation depuis une source externe, mais l’autorisation se donne application par application : c’est votre navigateur ou votre messagerie que vous habilitez à installer des paquets, de façon durable. Et depuis mars 2024, le règlement européen sur les marchés numériques impose l’ouverture d’iOS à des magasins alternatifs dans l’Union européenne, ce qui déplace vers l’utilisateur une question tranchée jusque-là par le fabricant.
Une catégorie mérite une méfiance particulière sur mobile : les applications de nettoyage, d’optimisation et d’économie de batterie. Leur promesse est techniquement intenable sur les systèmes récents, où aucune application ne peut toucher aux fichiers d’une autre. Elles vivent de publicité et de permissions excessives, comme l’explique notre article sur le stockage saturé d’un téléphone.
Certains éditeurs publient à côté du fichier une longue suite de caractères, l’empreinte SHA-256. Vous pouvez la recalculer sur le fichier téléchargé et comparer. Si les deux correspondent, le fichier reçu est exactement celui qui a été publié.
Cette vérification a une utilité réelle et une limite nette. Elle détecte un téléchargement corrompu, une coupure, ou un miroir de téléchargement modifié. Elle ne détecte rien du tout si le site officiel lui-même a été compromis, puisque l’attaquant y aura publié l’empreinte de son propre fichier. C’est pourquoi les projets les plus exposés signent leurs binaires avec une clé cryptographique dont la partie publique circule indépendamment du site.
En pratique, cette étape se justifie pour une image système, un outil de chiffrement ou un portefeuille de cryptomonnaie. Pour un lecteur vidéo téléchargé depuis le site de son éditeur, elle n’ajoute presque rien.
L’ordre compte, parce que chaque étape supprime du bruit avant la suivante.
Si des fenêtres publicitaires persistent après ce tri, ou si des comportements plus graves apparaissent, la question n’est plus celle d’un greffon commercial : suivez la méthode de nettoyage d’un appareil infecté. Et si des fichiers deviennent illisibles avec une demande de paiement, vous êtes face à un rançongiciel, qui appelle une conduite complètement différente.
Dernier réflexe utile : ce que vous avez téléchargé n’est pas forcément ce que son nom annonce. Un fichier présenté comme un document peut être un programme, parce que l’extension réelle est masquée par défaut. Savoir reconnaître un fichier à son type réel fait partie des bases traitées dans les formats de fichiers essentiels.
Avant de lancer un installeur, ne cherchez pas à évaluer le logiciel. Demandez-vous d’où vient le fichier et qui l’a contrôlé : un magasin, un dépôt signé, l’éditeur lui-même, ou un intermédiaire qui gagne de l’argent à chaque installation. Si la réponse est la quatrième, le contenu du fichier n’a plus d’importance.
Rarement, et c’est logique. Un installeur qui propose une barre d’outils en cochant la case pour vous n’exécute aucun code malveillant : il affiche une offre commerciale que vous avez le droit d’accepter. Les éditeurs d’antivirus rangent cela dans une catégorie à part, les programmes potentiellement indésirables, dont la détection est un réglage séparé et parfois moins agressif. Comptez sur la source du téléchargement, pas sur le filet de sécurité. Ce que fait et ne fait pas une protection est détaillé dans notre article sur les antivirus.
Non. Les utilitaires de nettoyage grand public sont eux-mêmes une source classique de greffons, et ils ne font rien qu’un désinstalleur intégré ne sache faire. La marche à suivre est manuelle : liste des programmes installés triée par date, extensions du navigateur, moteur de recherche par défaut, puis un examen antivirus complet. Si le comportement persiste après ce tri, le problème n’est plus un simple programme indésirable.
Parce que le contrôle intégré vérifie que l’application a été signée par un développeur identifié par Apple et soumise à son analyse automatique, dite notarisation, obligatoire depuis 2019 pour les logiciels distribués hors du magasin. Un refus signale une absence de signature ou de notarisation, pas nécessairement un logiciel malveillant : beaucoup de petits logiciels libres ne paient pas le programme de développeur. La décision vous revient, en connaissance de cause.
Ce n’est pas interdit, mais l’autorisation se donne source par source, et elle vaut pour toutes les installations futures venant de cette application. Une messagerie autorisée à installer des paquets devient une porte d’entrée permanente. Réservez cette autorisation à un dépôt dont la politique est publique, retirez-la ensuite, et vérifiez les permissions demandées à la première ouverture.
Les liens ci-dessus renvoient vers les textes et les organismes cités. Les dates de consultation sont celles de la dernière relecture, le 13 septembre 2026.
Dans ce thème
Dans la rubrique
Téléphone, ordinateur, batterie, stockage, mises à jour : pourquoi ça rame et quoi faire.