Méthodologie
Le critère retenu : qui peut être contraint par la loi de livrer, d'intercepter ou de couper l'accès aux données. C'est la juridiction de l'opérateur qui compte, davantage que l'emplacement des machines.
La règle de l'opérateur
- Une brique compte comme UE quand la société qui l'exploite et sa maison mère sont établies dans l'un des 27 États membres de l'Union.
- La Suisse, le Royaume-Uni, la Norvège, l'Islande et le Liechtenstein sont classés « Europe hors UE » : ils sont affichés comme tels et comptent hors UE dans le score.
- Une marque européenne détenue par un groupe non européen compte hors UE. Un revendeur d'infrastructure non européenne est classé d'après le réseau qui sert réellement le trafic.
- Un opérateur européen qui sert depuis un centre de données hors UE reste classé UE : sa portée juridique passe par la société européenne. La localisation de l'adresse IP est affichée à côté, à titre d'information.
Les briques vérifiées
- Point d'accès API (pour les fournisseurs d'IA de la liste) : l'adresse à laquelle partent vos requêtes. Quand un CDN sert cette adresse, il termine la connexion chiffrée et voit passer requêtes et réponses.
- Hébergement : l'adresse IP du domaine, rattachée au réseau qui l'annonce (numéro d'AS), puis à son opérateur.
- Localisation du serveur : la géolocalisation de cette même adresse IP. Elle reflète l'emplacement physique, indépendamment de l'opérateur.
- DNS : les serveurs de noms du domaine, reconnus par leur nom puis par leur réseau.
- Réception du courriel : les serveurs MX. Un domaine sans MX n'est pas compté.
- Envoi du courriel : les expéditeurs autorisés par l'enregistrement SPF. Un expéditeur déjà compté comme serveur de réception compte une seule fois.
- CDN : reconnu par les en-têtes de réponse de la page d'accueil, compté quand il est identifié.
- Services chargés par la page : les hôtes tiers que la page d'accueil charge (scripts, polices, images, cadres), lus dans son code. Un opérateur présent sous plusieurs hôtes compte une fois.
- Certificat TLS et bureau d'enregistrement : affichés à titre d'information, hors score.
Le score et le verdict
- Le score est la part des briques comptées opérées depuis l'UE : 5 sur 6 donne 83.
- Le verdict est binaire. « Reste dans l'UE » quand toutes les briques comptées sont UE ; « Sort de l'UE » dès qu'une seule ne l'est pas. Un site peut donc afficher un score élevé et sortir de l'UE.
- « Données insuffisantes » quand rien n'a pu être compté, par exemple un domaine qui ne se résout pas.
Les sources
- RIPEstat, service du RIPE NCC à Amsterdam : réseau annonçant chaque adresse IP, pays d'enregistrement du bloc d'adresses, géolocalisation. Les recherches restent ainsi dans l'UE.
- Une base de fournisseurs tenue par Bretelle : noms d'hôtes, numéros d'AS et en-têtes HTTP rattachés à leur opérateur et au pays de sa maison mère. Quand aucun fournisseur ne correspond, le pays d'enregistrement du réseau sert de repli.
- RDAP, via l'annuaire de l'IANA, pour le bureau d'enregistrement ; le certificat est lu directement sur le serveur.
Les limites
- Seule la face publique est visible : ce qui se trouve derrière un proxy ou un équilibreur de charge échappe à la vérification.
- Les services chargés par la page sont lus dans le code de la page d'accueil, à son chargement. Ceux qu'un script ajoute plus tard, ou qui suivent une action du visiteur, peuvent manquer.
- La géolocalisation suit le routage BGP ; sur un réseau anycast, elle désigne souvent le siège de l'opérateur.
- Un résultat est conservé six heures, puis recalculé. La date de vérification figure sur chaque résultat.
- Le résultat est un indicateur technique. Un audit juridique examine aussi les contrats, les sous-traitants et les flux internes.
Une donnée vous paraît inexacte ? Écrivez à contact@bretelle.eu avec le domaine concerné : la base de fournisseurs est corrigée et le résultat recalculé.