L’Internet Archive vous rend un mot de passe, pas une notification

Résumé

• Le parcours de récupération publié par l’Internet Archive tient en une phrase : choisir Forgot your password? et attendre les instructions par courriel. Aucune page consultée n’explique comment activer un second facteur distinct.
• Les deux billets que l’institution a consacrés à l’attaque portent les dates du 9 et du 14 octobre 2024 dans leurs adresses, mais leur texte d’éditeur n’a pas pu être lu ici : l’avis lui-même reste donc hors de portée d’une comparaison avec le centre d’aide.

L’Internet Archive (archive.org, AS7941) est une institution singulière pour détenir des identifiants. Il conserve le matériel des autres — livres, films, pages web, le lent dépôt du web ouvert — et demande à celles et ceux qui l’utilisent une adresse électronique et un mot de passe. Ce cumul en fait deux fois un dépositaire : des collections, et du récit qui les accompagne. Quand le second est plus mince que le premier, la facture tombe sur les personnes dont les mots de passe y dormaient encore.

Commencez par ce que le dépositaire publie pour celui qui a perdu l’accès. La page de dépannage des comptes est simple et utile : sélectionner Forgot your password? sur la page de connexion, puis « You will receive an email with instructions on how to reset your password » (Comptes – Aide et dépannage). La même page conduit l’utilisateur connecté vers les paramètres du compte, où le mot de passe est saisi de nouveau avant que Change Account Settings n’ouvre le détail du compte.

Le guide compagnon dit comment on entre. Trois voies : « a) use your email and password, b) sign in via Google, or c) receive a one time code to your email » (Comptes – Guide de base). La phrase mérite qu’on s’y arrête, car elle détermine la dépendance du compte à une boîte aux lettres. Le code envoyé par courriel est une alternative au mot de passe, pas un supplément. La récupération passe par la même adresse. Le même guide énumère ce qu’un titulaire peut modifier dans les paramètres — nom affiché, adresse électronique — et ne donne nulle part la marche à suivre pour activer un second facteur. Cela ne prouve pas que le service en soit dépourvu. Cela signifie qu’un lecteur qui suit la documentation de l’archive n’a rien à allumer.

La trace visuelle est plus ancienne que la question. Une capture officielle du centre d’aide montre une page de paramètres portant « Change Password », « New Password » et « Confirm Password », avec un bouton Change (capture Paramètres du compte). Elle figure dans un article que le centre d’aide marque comme mis à jour le 10 juin 2019, et elle affiche une option de suppression de l’historique d’emprunt que le guide actuel dit inexistante. L’image la plus nette du contrôle de mot de passe date donc de sept ans et se contredit elle-même : c’est une documentation, pas un inventaire.

La destination refuse de se laisser vérifier. L’adresse des paramètres renvoie un avis exigeant JavaScript, pas une surface de compte (paramètres du compte archive.org). Aucune interface authentifiée n’a été inspectée : rien ici n’établit quels contrôles sont réellement en service aujourd’hui. Ce qui est établi est plus étroit et plus utile — la page qui trancherait n’est pas lisible hors d’une session de navigateur, ce qui laisse le texte d’aide comme seule preuve de compte que quiconque puisse peser.

Vient le dossier de l’incident. L’archive a bien publié sur l’attaque, à deux adresses dont le chemin porte le 9 octobre et le 14 octobre 2024 — A Message from Brewster Kahle et Update on the Recent Cyberattack. Au moment de cette vérification, ni l’un ni l’autre ne s’est affiché comme texte de l’éditeur ; à leur place, un résumé, pas les mots de l’archive. Un lecteur muni d’un navigateur ordinaire les verra sans doute en entier, et devrait aller voir. La limite est précise et elle compte : l’instrument d’avis — population nommée, date de notification, consigne donnée — n’a pas pu être cité puis posé à côté du centre d’aide, si bien que les deux moitiés du dossier n’ont jamais été mises dans le même cadre où un tiers pourrait les confronter.

Une vérification indépendante a été tentée. Une recherche portant sur une déclaration de violation de données déposée auprès d’un procureur général d’État et nommant l’Internet Archive n’a renvoyé aucun document candidat. Un résultat nul n’est pas une absence : il signifie que la trace non opérateur, celle qui aurait permis au dossier d’un régulateur de parler à la place de l’archive, n’a pas été trouvée, et que le récit du dépositaire reste le seul récit à portée de main.

Posons le test à plat. Qui a été prévenu : aucun document citable ici ne le dit. À quelle date : seules les deux adresses d’octobre 2024. Par quel instrument : un billet dont le texte n’était pas lisible pour ce travail. Avec quelle consigne : la procédure permanente de réinitialisation, qui vaut pour tous les jours et ne notifie aucun jour particulier. Quant à la réparation durable — ce qui permettrait au titulaire d’agir au lieu d’espérer —, elle prend la forme d’un formulaire de mot de passe daté de 2019, et rien de publié n’indique comment ajouter un second verrou.

Les travaux antérieurs de BTW sur cette institution, dont un article de recherche de juillet 2026 qui traitait la crise de 2024 comme plusieurs risques distincts appelant des réponses distinctes, demandaient ce qui avait échoué et ce qui avait été reconstruit. Celui-ci pose la question plus étroite : qu’a-t-on réellement remis à une personne dont les identifiants se trouvaient dans la brèche ?

Deux documents changeraient le classement, et ni l’un ni l’autre ne coûte cher. Le premier est l’avis lui-même, republication ou lien dans une forme lisible par un tiers, nommant les personnes touchées et la consigne reçue. Le second est une ligne de documentation qui explique comment activer un second facteur, s’il en existe un — la différence entre une protection et une assurance. En attendant, le dossier de compte de l’archive se résume à un courriel de réinitialisation et à un formulaire de la décennie précédente, et le devoir envers les personnes dont elle détient les mots de passe s’acquitte en privé.

Un dépositaire qui publie ses défaillances sous une forme que personne ne peut citer n’a pas été pris à cacher quoi que ce soit. Il a choisi le dossier le moins coûteux, et c’est ce dossier-là qu’on citera aussi longtemps que ses collections.