Rejoindre un appel WhatsApp sans compte : que sait Meta de l’invité ?

Un utilisateur de WhatsApp ouvre l’onglet Appels, touche « + », crée un lien d’appel et l’envoie à une collègue qui n’a jamais installé l’application. Elle l’ouvre dans le navigateur de son ordinateur, tape un nom et patiente dans une salle d’attente jusqu’à ce que l’hôte la fasse entrer. C’est le fonctionnement des appels « invités » qu’a présentés Meta le 14 octobre : « vous pouvez désormais inviter n’importe qui à un appel WhatsApp, même sans compte WhatsApp ».

Les règles fixées par Meta

D’après l’annonce, l’invité a toujours besoin de l’accord de l’hôte pour entrer, et peut être exclu « à tout moment ». Une fois admis, il ne voit pas les numéros de téléphone des autres participants, ne peut pas envoyer de messages ni ajouter quelqu’un d’autre à l’appel. Il garde les fonctions courantes : partager l’écran de son ordinateur, réagir par un pouce levé ou un cœur, lever la main pour prendre la parole.

Les appels, en tête-à-tête ou en groupe, réunissent jusqu’à 32 personnes, sont gratuits et sans limite de durée. Seul un détenteur de compte WhatsApp peut créer un lien. Meta promet pour « plus tard cette année » un module à installer dans les agendas Google et Outlook, qui ajoutera un lien d’appel WhatsApp à une invitation de réunion.

La fonction prolonge les appels depuis WhatsApp Web, la version de la messagerie qui s’utilise dans un navigateur, annoncés le 28 juillet pour les titulaires d’un compte.

Un nom, et une politique peu détaillée sur le reste

Que laisse l’invité derrière lui ? La politique de confidentialité européenne de WhatsApp, en vigueur depuis le 2 juillet et publiée par WhatsApp Ireland Limited, la filiale de Meta qui fournit le service en Europe, prévoit déjà ce cas. Elle « s’applique » à quiconque utilise le service « en tant qu’invité », mais seulement « pour les traitements limités effectués pour les invités ». Deux éléments les visent nommément : le nom d’affichage (« nous recueillons le nom d’affichage que vous fournissez ») et, dans la liste des informations sur l’appareil et la connexion, des « identifiants temporaires d’invité ».

Le texte ne dresse pas la liste de ces « traitements limités ». Mais ces identifiants d’invité figurent dans la même énumération que « les informations sur le navigateur » et l’« adresse IP » (le numéro qui identifie une connexion à Internet) : les invités entrent donc dans cette collecte. La politique ne précise pas lesquelles des autres données de la liste les concernent, ni combien de temps elles sont gardées. Les conditions d’utilisation européennes, en vigueur depuis le 17 août, ne mentionnent pas les invités.

L’hôte, lui, en dit plus qu’il ne le croit peut-être. La politique précise que lorsqu’on partage un lien d’appel, son nom de profil et sa photo « peuvent aussi être visibles par toute personne qui rejoint l’appel depuis ce lien, y compris les invités ».

Chiffré de bout en bout, mais dans un navigateur

Meta présente ces appels comme « chiffrés de bout en bout » : le son et l’image sont brouillés sur l’appareil de chaque participant et ne sont déchiffrables que par les autres participants, pas par les serveurs qui les acheminent. Sa politique l’énonce ainsi : personne, « pas même WhatsApp », ne peut écouter les appels personnels.

Dans une application installée sur un téléphone, ce chiffrement est assuré par un code qui passe par les magasins d’applications. Dans un navigateur, il est assuré par du code que le site de WhatsApp envoie lui-même au navigateur. Meta en convenait elle-même en 2022, en présentant Code Verify, une extension pour Chrome, Edge et Firefox : « contrairement à une application mobile téléchargeable, une application web est généralement servie directement aux utilisateurs, sans qu’un tiers examine et contrôle le code ». L’extension compare le code de WhatsApp Web reçu par le navigateur à une empreinte (un résumé chiffré du code, qui change si une seule ligne change) publiée par Cloudflare, chargée de jouer le rôle de « tiers de confiance », et affiche une icône rouge en cas d’écart.

Le cryptographe David Wong, cofondateur de la société d’audit zkSecurity, résumait le problème dans un billet de 2018 consacré au chiffrement dans les navigateurs, sans viser WhatsApp : « une application web peut facilement vous cibler, en servant une application différente selon l’adresse IP du client, alors que les applications mobiles ont besoin de la coopération du magasin d’applications pour le faire. » Autrement dit, la promesse de chiffrement d’un invité repose davantage sur la confiance accordée à Meta que celle d’un utilisateur de l’application. Ni l’annonce ni la page de Code Verify ne disent si l’extension vérifie aussi la page d’appel ouverte par un invité.

Ce que font Meet, Teams et FaceTime

Rejoindre une visioconférence sans compte n’a rien de nouveau. Les trois grands services comparables le permettent, le plus souvent avec une admission par l’hôte ; ils diffèrent surtout sur le chiffrement, et sur les conditions pour en bénéficier.

Google indique qu’on peut rejoindre une réunion Meet sans compte Google si « l’organisateur ou un participant » vous laisse entrer, et que les données sont chiffrées « en transit » entre le navigateur et Google par défaut. Dans ses offres payantes Enterprise Plus et Education Standard et Plus, Google propose aussi un chiffrement côté client (le son et l’image sont chiffrés sur l’appareil des participants, qui seuls détiennent de quoi les déchiffrer) : depuis avril 2024, il est ouvert aux participants externes, y compris sans compte Google, si l’administrateur l’active, et « seuls les participants à la réunion » peuvent alors déchiffrer l’appel. L’invité doit toutefois faire vérifier son identité par le service d’identification choisi par l’organisation. Microsoft permet de rejoindre Teams sans compte depuis le navigateur, mais son chiffrement de bout en bout, possible pour les appels à deux et, avec l’offre payante Teams Premium, pour les réunions, n’est pas pris en charge sur le Web : les participants qui tentent d’entrer par ce biais « sont bloqués ». Apple, qui ouvre les liens FaceTime aux appareils Android et Windows depuis iOS 15, affirme que l’appel « reste chiffré de bout en bout » (page Confidentialité d’Apple) ; ses invités ne peuvent pas partager leur écran, ceux de WhatsApp le peuvent.

Disponible en France ? Meta ne le dit pas

L’annonce du 14 octobre est écrite au présent (« aujourd’hui »), mais ne cite aucun pays, ne parle pas de l’Europe et ne donne aucun calendrier. Elle ne précise pas non plus quels navigateurs sont pris en charge, ni si un invité peut rejoindre l’appel depuis le navigateur d’un téléphone : elle ne mentionne que celui d’un ordinateur. Pour les appels depuis WhatsApp Web, sur lesquels la fonction s’appuie, WhatsApp annonçait en juillet un déploiement « progressif », « bientôt » accessible à tous ; il n’a pas donné d’indication équivalente pour les invités. Consultée le 15 octobre, la page d’aide française de WhatsApp sur les liens d’appel les présente encore comme un moyen de faire rejoindre l’appel à « toute personne possédant un compte WhatsApp », sans mention des invités. Cela ne prouve pas que la fonction soit absente en France : la page n’a peut-être simplement pas été mise à jour.

Avant d’envoyer ou d’ouvrir un lien

• Le lien est la clé. L’aide de WhatsApp prévient : « Toute personne disposant de votre lien d’appel peut rejoindre votre appel. Ne le partagez donc qu’avec les personnes en qui vous avez confiance. » Le panneau d’invitation du visuel de Meta dit la même chose, en ajoutant « même sans WhatsApp ». Un lien envoyé dans un groupe ou publié en ligne peut circuler ; selon la même page d’aide, il expire après 30 jours sans utilisation, et seule la personne qui l’a créé voit la salle d’attente, y admet les gens et peut retirer quelqu’un de l’appel.
• Le nom d’un invité est déclaratif. L’invité tape le nom qu’il veut. La salle d’attente ne protège que si l’hôte sait qui il fait entrer : en cas de doute, demander à la personne de se présenter de vive voix, et l’exclure si besoin.
• L’hôte s’expose aussi. Son nom et sa photo de profil WhatsApp peuvent être vus par les invités ; à vérifier avant de partager un lien avec des inconnus.
• Côté invité, rien à installer ni à créer. Mais, comme pour toute visite d’un site, ouvrir le lien met le navigateur en relation avec les serveurs de Meta. La politique de confidentialité mentionne des identifiants temporaires d’invité, sans dire ce qui est conservé au-delà du nom ni combien de temps.

Les citations de Meta, de WhatsApp, de Google, de Microsoft, d’Apple et de David Wong ont été traduites de l’anglais par la rédaction.