Résumé

Une interface pour entrer

Le document explicatif publié par le W3C le 6 juillet 2017 présentait un choix industriel très concret. Les films protégés passaient jusque-là souvent par des extensions extérieures au navigateur. En confiant l'échange avec les systèmes de protection au navigateur, le consortium promettait de replacer ces échanges sous ses contrôles de sécurité et de confidentialité. La vidéo chiffrée avait déjà ses distributeurs et ses appareils ; le W3C voulait lui donner une porte web commune.

Dans la spécification finale, une page demande l'accès à un système de clés, ouvre une session et transmet les messages nécessaires à l'obtention d'une licence. Le module de déchiffrement, ou CDM, accomplit les opérations qui permettent de lire le média. Le texte impose Clear Key comme point commun minimal. Il laisse les autres systèmes de protection et leurs CDM varier. Le consortium a donc standardisé la conversation, pas la totalité de ses interlocuteurs.

Cette distinction a un effet immédiat pour le lecteur. Une API présente dans deux navigateurs ne garantit pas que les deux disposent du même CDM, ni que le service délivrera une licence à chacun. Le cahier des charges commun organise l'accès au mécanisme. L'accès au film dépend encore du mécanisme et de celui qui accorde les droits.

La liste des objections tenait sur une page

La décision du 6 juillet répartit les critiques en sept familles : protection de l'utilisateur, logiciel libre, définition des CDM, droit anti-contournement, adaptation pour les personnes handicapées, arrivée de nouveaux acteurs et archivage. Le directeur a demandé des clarifications sur plusieurs points. Il a maintenu la publication de la Recommendation.

L'absence d'une interface commune entre CDM était au cœur du débat technique. Le groupe de travail avait étudié cette possibilité, selon la décision, puis l'avait sortie du périmètre de la première version. Le directeur a laissé la question ouverte pour l'avenir et refusé d'en faire un motif de blocage. Sur le droit anti-contournement, le W3C indiquait ne pas avoir obtenu l'accord de ses membres pour un engagement de non-agression. Il recommandait aux organisations de ne pas employer ces lois contre la recherche en sécurité et en confidentialité.

Une recommandation adressée aux entreprises n'avait pas la force de l'engagement collectif réclamé.

Le W3C constatait lui-même qu'une spécification ne pouvait pas imposer techniquement une protection complète des utilisateurs face aux CDM fermés. Sa direction estimait néanmoins le système intégré au navigateur préférable aux anciennes extensions. Le pari reposait sur une amélioration du point de contact, avec les parties les plus disputées maintenues hors du périmètre commun.

L'appel, puis les chiffres

Dans sa notification du 12 juillet, l'EFF a attaqué la procédure. Selon elle, les membres n'avaient pas été invités à trancher la question d'un engagement protégeant la recherche sur ces systèmes avant que le directeur approuve EME. Elle avançait que l'absence d'une telle garantie affaiblirait l'audit, l'accessibilité et la possibilité d'entrer sur ce marché. C'était la position de l'appelante, formulée devant le W3C lui-même.

Le consortium a finalement soumis la décision de son directeur aux membres. Son communiqué du 18 septembre donne le décompte : 108 pour la poursuite, 57 contre, 20 abstentions. EME a été publié comme Recommendation ce jour-là. Le W3C précisait que les navigateurs pouvaient choisir de ne pas mettre EME en œuvre et que la conformité à HTML n'en dépendait pas. Le vote portait sur le sceau du consortium, pas sur une obligation imposée à tous les navigateurs.

Un guichet commun pouvait désormais porter le nom d'une norme du Web. Les fournisseurs de CDM, les services de vidéo et les ayants droit gardaient leurs propres décisions sur les modules et les licences. Les objections avaient été entendues, puis une autorité identifiable avait choisi de publier. C'est cette répartition du pouvoir, davantage que le sigle EME, que raconte le résultat de 2017.