Guide Cloudflare pour les demandes d'accès aux données par la police
Comment les enquêteurs travaillent avec Cloudflare : procédures, canaux d'abus, divulgation d'urgence, politique de notification et MLAT pour les agences.
Ce guide offre des conseils généraux et professionnels aux agents des forces de l'ordre, aux procureurs et aux enquêteurs spécialisés dans la cybercriminalité qui ont besoin d'obtenir des dossiers liés à un site web utilisant Cloudflare. Il ne s'agit pas d'un avis juridique. Les enquêteurs doivent agir sous une autorité légale appropriée à leur juridiction et confirmer les procédures en vigueur directement auprès du fournisseur avant de se fier à une quelconque étape décrite ici.
- Cloudflare vous oriente généralement vers l'hébergeur, il n'est pas l'hébergeur. Pour la plupart de ses produits, il agit comme un proxy pour le trafic et ne stocke pas le contenu du site web.
- L'élément le plus utile qu'il puisse vous fournir est souvent l'identité du fournisseur d'hébergement d'origine derrière un site utilisant un proxy, ainsi que les détails du compte et de facturation du client.
- Cloudflare distingue un signalement d'abus d'une procédure judiciaire formelle. Les données d'abonné nécessitent généralement une assignation à comparaître (subpoena), et les dossiers plus sensibles nécessitent généralement une ordonnance du tribunal ou un mandat.
- Cloudflare notifie généralement son client d'une demande légale, sauf s'il lui est légalement interdit de le faire, ce qui est important lorsque vous prévoyez une arrestation ou une saisie.
- Cloudflare est basé aux États-Unis, donc les agences non américaines acheminent généralement les demandes formelles par le biais d'un tribunal américain, souvent via un traité d'entraide judiciaire (MLAT).
Ce qu'est réellement Cloudflare
Cloudflare est un réseau de diffusion de contenu (CDN), un fournisseur DNS, un proxy inverse et un service de protection contre les attaques DDoS. Pour la grande majorité des sites qui l'utilisent, Cloudflare se place devant un site web hébergé ailleurs. Le trafic des visiteurs atteint d'abord la périphérie (edge) de Cloudflare, et Cloudflare le transmet au serveur réel du client, appelé l'origine. En raison de ce modèle de transmission, Cloudflare n'est généralement pas l'hébergeur du contenu du site web et ne stocke pas ce contenu au sens traditionnel du terme.
Il existe une exception importante. Lorsqu'un client utilise les produits de plateforme de Cloudflare pour diffuser du contenu à la périphérie, tels que Pages, Workers, Workers KV, Stream, Images ou le stockage R2, Cloudflare peut lui-même être l'hébergeur d'origine pour ce contenu spécifique. Pour ces produits, les demandes liées au contenu peuvent être adressées à Cloudflare. Pour les sites web utilisant un proxy ordinaire, ce n'est pas le cas.
Ce que détient Cloudflare, et ce qu'il ne détient pas
Cloudflare conserve des informations limitées sur les comptes clients. Selon ses directives destinées aux forces de l'ordre, cela inclut généralement le nom du client, son adresse e-mail, son adresse physique, son numéro de téléphone et le moyen ou la source de paiement, ainsi que les détails de l'activité du compte tels que les heures de connexion et les adresses IP associées.
Ce que Cloudflare ne possède généralement pas pour les sites utilisant un proxy, c'est le contenu du site web, et il ne collecte ni ne conserve systématiquement de données sur les utilisateurs finaux qui visitent les sites des clients. Il déclare qu'il dispose rarement de données répondant aux ordonnances demandant les journaux d'adresses IP des visiteurs ou les dates d'accès, car ces informations ne sont conservées que pendant une durée limitée. Planifiez en conséquence : ne supposez pas que Cloudflare peut reconstituer qui a visité un site.
| Ce que vous recherchez | Qui le détient réellement | Comment l'obtenir |
|---|---|---|
| Le contenu ou les fichiers du site web (site utilisant un proxy) | Le fournisseur d'hébergement d'origine, pas Cloudflare | Identifiez l'hébergeur via Cloudflare, puis servez l'hébergeur avec une procédure judiciaire |
| Compte client, facturation et coordonnées | Cloudflare | Assignation à comparaître (données d'abonné de base) à Cloudflare |
| Identité de l'hébergeur d'origine derrière un domaine utilisant un proxy | Cloudflare | Procédure judiciaire auprès de Cloudflare, ou en cas d'urgence, une demande d'urgence |
| Contenu diffusé par Pages, Workers, Stream, Images ou R2 | Cloudflare (il est l'origine ici) | Ordonnance du tribunal ou mandat à Cloudflare |
| Journaux d'adresses IP des visiteurs et heures d'accès | Souvent personne ne les conserve à long terme ; vérifiez auprès de l'hébergeur d'origine | Ordonnance du tribunal, mais attendez-vous à des données limitées ou inexistantes |
Pourquoi le proxy masque l'origine, et pourquoi les enquêteurs s'adressent à Cloudflare
Lorsqu'un domaine utilise un proxy, les recherches publiques telles que WHOIS et DNS renvoient aux adresses IP de Cloudflare plutôt qu'au serveur réel du client. Ceci est intentionnel et protège l'origine contre les attaques directes. L'effet secondaire pour les enquêteurs est que le véritable emplacement d'hébergement est masqué. C'est la raison principale pour laquelle les forces de l'ordre s'adressent à Cloudflare : non pas pour obtenir le contenu du site, mais pour percer le proxy et découvrir quel fournisseur d'hébergement se trouve derrière, afin que le contenu et les journaux du serveur puissent être poursuivis auprès de l'hébergeur réel.
Signalement d'abus versus procédure judiciaire formelle
Il s'agit de deux canaux distincts qui produisent des résultats très différents.
- Signalement d'abus. Cloudflare exploite un formulaire de signalement d'abus sur sa page dédiée aux abus (la section signalement d'abus du Trust Hub renvoie vers le formulaire actuel). Pour les sites utilisant un proxy, Cloudflare transmet généralement la plainte à l'opérateur du site web et au fournisseur d'hébergement responsable, et fournit au plaignant les coordonnées du fournisseur d'hébergement. C'est un moyen rapide d'identifier l'hébergeur et de porter une plainte devant la partie qui peut réellement agir sur le contenu. Ce n'est pas un substitut à une procédure judiciaire et cela ne vous permettra pas d'obtenir les dossiers des abonnés.
- Procédure judiciaire formelle. Pour contraindre à la remise de dossiers clients, vous devez signifier une procédure judiciaire valide. Les directives de Cloudflare indiquent que les données d'abonné de base nécessitent généralement une assignation à comparaître, tandis que des informations plus sensibles ou supplémentaires nécessitent généralement un mandat émis par un tribunal ou une autre ordonnance judiciaire. Les agents doivent contacter le canal dédié aux forces de l'ordre de Cloudflare ([email protected]) et fournir des détails d'identification tels que le numéro de badge et de dossier, le grade, l'agence et l'unité.
Le flux de travail pratique
- Confirmez que le site est réellement derrière Cloudflare (WHOIS ou DNS résolvant vers les plages d'adresses de Cloudflare, en-têtes de réponse).
- Décidez de ce dont vous avez besoin. Si vous voulez du contenu ou des journaux côté serveur, votre véritable cible est l'hébergeur d'origine, pas Cloudflare.
- Utilisez Cloudflare pour identifier l'origine. Soumettez un signalement d'abus pour obtenir les coordonnées du fournisseur d'hébergement, ou servez une procédure judiciaire pour contraindre à la remise des informations sur le compte client et l'origine.
- Servez l'hébergeur d'origine. Une fois que vous connaissez le fournisseur d'hébergement, adressez votre assignation à comparaître, votre ordonnance du tribunal ou votre mandat pour le contenu et les journaux à cet hébergeur.
- En parallèle, servez Cloudflare pour les dossiers qu'il détient, à savoir le compte client, la facturation et les coordonnées.
- Envoyez rapidement une demande de conservation aux parties concernées afin que les données ne soient pas perdues pendant la préparation de la procédure judiciaire.
Conservation, divulgation d'urgence et notification au client
Conservation versus production. Une demande de conservation demande à un fournisseur de conserver les dossiers existants afin qu'ils ne soient pas supprimés ; elle ne divulgue rien en soi. La production nécessite la procédure judiciaire appropriée. Compte tenu de la courte durée de conservation des données transitoires par Cloudflare, envoyez les demandes de conservation rapidement.
Divulgation d'urgence. Lorsqu'une demande implique un danger imminent de mort ou de blessure physique grave pour une personne, Cloudflare peut divulguer des informations sans délai, évalué au cas par cas en vertu de la loi américaine. Utilisez le canal dédié aux forces de l'ordre et documentez clairement l'urgence.
Agences non américaines et MLAT
Cloudflare est une entreprise basée aux États-Unis. Elle attend des gouvernements non américains qu'ils respectent les mêmes exigences en matière de procédure régulière et préfère généralement que les demandes soient transmises par l'intermédiaire d'un tribunal américain via une procédure diplomatique, telle qu'une demande d'entraide judiciaire. Les enquêteurs non américains doivent prendre en compte ce routage, ainsi que le temps nécessaire, dans leurs plans, tout en utilisant le canal d'abus pour identifier l'hébergeur entre-temps. Cloudflare publie régulièrement un rapport de transparence et maintient des directives publiques à l'intention des forces de l'ordre ; veuillez consulter les versions actuelles avant toute soumission.
Foire aux questions
Cloudflare peut-il me fournir le contenu du site web ? Pour les sites proxy ordinaires, non. Cloudflare n'héberge pas ce contenu ; il agit en tant que proxy. Vous obtenez le contenu auprès du fournisseur d'hébergement d'origine. L'exception concerne le contenu servi via les propres produits de périphérie de Cloudflare tels que Pages, Workers, Stream, Images et R2, pour lesquels Cloudflare peut être l'hébergeur.
Comment trouver le véritable hébergeur derrière un site Cloudflare ? Demandez à Cloudflare. Un rapport d'abus permet généralement d'obtenir les coordonnées du fournisseur d'hébergement, et une procédure judiciaire formelle peut contraindre à la divulgation des détails du compte du client et de l'origine. Adressez-vous ensuite directement à cet hébergeur.
De quelle procédure judiciaire ai-je besoin, et le client sera-t-il informé ? Les données de base sur les abonnés nécessitent généralement une assignation à comparaître (subpoena) ; les dossiers plus sensibles nécessitent généralement une ordonnance du tribunal ou un mandat. Cloudflare informe généralement le client, sauf si la loi l'interdit ; demandez donc une ordonnance de non-divulgation si la confidentialité est importante.
Je suis en dehors des États-Unis. Que dois-je faire ? Utilisez le canal d'abus pour identifier rapidement l'hébergeur, mais acheminez les demandes formelles de divulgation forcée par le biais de la procédure judiciaire américaine appropriée, généralement via une demande d'entraide judiciaire (MLAT).
Guides associés
- Preuves dans le cloud : obtenir des données auprès d'AWS, Azure et Google Cloud
- Attribution d'IP et de domaine : transformer une adresse en suspect
- Obtenir des preuves auprès des plateformes de réseaux sociaux : dossiers, conservation et procédure judiciaire
Pour le répertoire complet des portails de demande des forces de l'ordre des plateformes, consultez notre hub de portail LERS.
Image principale : Un câble réseau à fibre optique. · Crédit : Bidgee · Wikimedia Commons · CC BY-SA 3.0 AU · source