Logiciels malveillants et logiciels indésirables

Google vérifie les sites Web pour voir s’ils hébergent des logiciels ou des exécutables téléchargeables qui affectent négativement l’expérience utilisateur. Les logiciels malveillants et les logiciels indésirables sont soit des binaires téléchargeables, soit des applications qui s’exécutent sur un site Web et affectent les visiteurs du site. Vous pouvez voir une liste de tous les fichiers suspects hébergés sur votre site dans le
rapport Problèmes
de sécurité.

Qu’est-ce qu’un logiciel malveillant ?

Un logiciel malveillant est tout logiciel ou application mobile spécifiquement conçu pour nuire à un ordinateur, un appareil mobile, le logiciel qu’il exécute ou ses utilisateurs. Les logiciels malveillants présentent un comportement malveillant qui peut inclure l’installation de logiciels sans le consentement de l’utilisateur et l’installation de logiciels nuisibles tels que des virus. Les propriétaires de sites Web ne réalisent parfois pas que leurs fichiers téléchargeables sont considérés comme des logiciels malveillants, de sorte que ces binaires peuvent être hébergés par inadvertance.

• Pour en savoir plus sur la façon dont Google aide à protéger les utilisateurs contre les téléchargements malveillants, consultez
  Protéger
  les utilisateurs contre les téléchargements malveillants dans notre blog Google Online Security Blog.
• Pour nos critères de logiciels sûrs sur le Web, consultez notre Politique relative aux
  logiciels indésirables.

Qu’est-ce qu’un logiciel indésirable ?

Un logiciel indésirable est un fichier exécutable ou une application mobile qui adopte un comportement trompeur, inattendu ou qui affecte négativement l’expérience de navigation ou informatique de l’utilisateur. Les exemples incluent les logiciels qui modifient votre page d’accueil ou d’autres paramètres du navigateur par des paramètres que vous ne voulez pas, ou les applications qui divulguent des informations privées et personnelles sans divulgation appropriée.

Pour en savoir plus sur la façon dont Google aide à protéger les utilisateurs contre les logiciels indésirables, consultez
Ce n’est pas
le téléchargement que vous recherchez… dans notre blog Google Online Security Blog.

Résolution du problème

Assurez-vous que votre site ou application suit les directives, puis vous pouvez demander un examen dans le
rapport Problèmes de sécurité.

Si votre application mobile affiche des avertissements, vous pouvez
faire appel.

Directives

Assurez-vous de ne pas enfreindre la Politique relative aux
logiciels indésirables, et suivez les directives fournies ici. Bien que cette liste ne soit pas exhaustive, ces comportements peuvent amener les applications et les sites Web à afficher des avertissements aux utilisateurs lors du téléchargement et de la visite. Vous pouvez voir une liste de tous les fichiers suspects hébergés sur votre site dans le
rapport Problèmes de sécurité.

Ne vous présentez pas sous un faux jour

• Informez avec précision les utilisateurs de l’objectif et de l’intention d’un logiciel. Les utilisateurs doivent pouvoir télécharger le logiciel intentionnellement, en sachant précisément ce qui sera téléchargé, en cliquant sur une publicité précise qui informe clairement l’utilisateur de ce qui sera téléchargé. Les publicités dirigeant l’utilisateur vers le téléchargement ne doivent pas être trompeuses ou inexactes, telles que :
  • Une publicité qui contient uniquement les mots “Télécharger” ou “Jouer” sans identifier le logiciel pour lequel elle fait de la publicité.
  • Un bouton “Jouer” qui mène à un téléchargement.
  • Une publicité qui imite l’apparence et la convivialité du site Web de l’éditeur et prétend offrir du contenu (par exemple, un film) mais mène à la place à un logiciel sans rapport.
  • Lisez à propos de Social
    Engineering dans notre blog Online Security Blog.
• Comportez-vous comme annoncé. Assurez-vous que votre programme est clair sur sa fonctionnalité et ses intentions. Si votre programme collecte des données d’utilisateurs ou injecte des publicités dans le navigateur d’un utilisateur, regroupez ces comportements dans un langage clair et ne les présentez pas comme des fonctionnalités insignifiantes.
• Expliquez explicitement et clairement à l’utilisateur quels changements de navigateur et de système seront apportés par votre logiciel. Permettez aux utilisateurs d’examiner et d’approuver toutes les options et modifications d’installation importantes. L’interface utilisateur principale de votre programme doit divulguer clairement les composants du binaire et leur fonctionnalité principale. Le binaire doit offrir un moyen simple pour l’utilisateur d’ignorer l’installation des composants groupés. Par exemple, masquer ces options ou utiliser un texte à peine visible n’est pas une bonne divulgation.
• N’utilisez les recommandations que lorsque vous y êtes autorisé. N’utilisez pas les logos d’autres entreprises de manière non autorisée pour légitimer ou recommander un produit. N’utilisez pas de logos gouvernementaux sans autorisation.
• Ne faites pas peur à l’utilisateur. Le logiciel ne doit pas présenter de manière erronée l’état de la machine de l’utilisateur à ce dernier, par exemple en affirmant que le système est dans un état de sécurité critique ou infecté par des virus. Le logiciel ne doit pas prétendre fournir un service (par exemple, “accélérer votre PC”) qu’il ne fournit pas ou ne peut pas fournir. Par exemple, les nettoyeurs et optimiseurs d’ordinateurs “gratuits” ne doivent pas être annoncés comme tels à moins que les services et composants annoncés ne nécessitent aucun paiement.

Directives relatives aux logiciels

• Utilisez l’API Google Settings si votre programme modifie les paramètres de Chrome.
  Toute modification apportée aux paramètres de recherche par défaut, à la page de démarrage ou à la page du nouvel onglet de l’utilisateur doit être effectuée à l’aide de l’ API Chrome Settings Override, qui nécessite l’utilisation d’une extension Chrome, ainsi qu’un flux d’installation d’extension conforme.
• Permettez aux dialogues du navigateur et du système d’exploitation d’alerter l’utilisateur comme prévu.
  Ne supprimez pas les alertes adressées à l’utilisateur par le navigateur ou par le système d’exploitation, notamment celles qui luttent pour informer l’utilisateur des modifications apportées à son navigateur ou à son système d’exploitation.
• Nous vous recommandons de signer votre code. Bien qu’un binaire non signé ne soit pas une raison pour signaler votre binaire comme logiciel indésirable, nous recommandons que les programmes disposent d’une signature de code valide et vérifiée émise par une autorité de signature de code qui présente des informations vérifiables sur l’éditeur.
• Ne dégradez pas les mesures de sécurité et de protection fournies par les connexions TLS/SSL. Une application ne peut pas installer un certificat d’autorité de certification racine. Elle ne peut pas intercepter les connexions SSL/TLS à moins d’être conçue pour que des experts déboguent ou étudient des logiciels. Pour plus de détails, consultez l’article connexe du blog Google Security Blog.
• Protégez les données des utilisateurs. Les logiciels, y compris les applications mobiles, ne doivent transmettre des données privées d’utilisateurs aux serveurs que dans la mesure où cela est lié à la fonctionnalité de l’application, et ces transmissions doivent à la fois être divulguées à l’utilisateur et être chiffrées.
• Ne nuisez pas. Votre binaire doit respecter et ne pas nuire à l’expérience de navigation de l’utilisateur. Assurez-vous que vos binaires téléchargeables respectent les politiques courantes suivantes :
  • Ne cassez pas la fonctionnalité de réinitialisation du navigateur. Lisez à propos du bouton
    réinitialiser les paramètres
    du navigateur dans Chrome.
  • Ne contournez pas ou ne supprimez pas le contrôle de l’interface utilisateur du navigateur ou du système d’exploitation pour les modifications de paramètres. Votre programme doit fournir aux utilisateurs un avis et un contrôle appropriés sur les modifications de paramètres qui se produisent dans le navigateur. Utilisez l’ API Settings
    pour modifier les paramètres de Chrome (consultez cet article du blog Chromium sur
    la protection des paramètres utilisateur sous Windows avec la nouvelle API Settings).
  • Utilisez une extension pour modifier la fonctionnalité de Google Chrome, plutôt que de provoquer un changement de comportement du navigateur par d’autres moyens programmatiques. Par exemple, votre programme ne doit pas utiliser de DLL (bibliothèques de liens dynamiques) pour injecter des publicités dans le navigateur, ne doit pas déployer de proxys qui interceptent le trafic, ne doit pas utiliser de Layered Service Provider pour intercepter les actions des utilisateurs, ni insérer une nouvelle interface utilisateur dans chaque page Web en modifiant le binaire de Chrome.
  • Les descriptions de vos produits et composants ne doivent pas effrayer l’utilisateur et/ou faire de fausses déclarations trompeuses. Par exemple, votre produit ne doit pas faire de fausses déclarations sur la façon dont le système est dans un état de sécurité critique ou infecté par des virus. Les programmes tels que les nettoyeurs de registre ne doivent pas afficher de messages alarmants sur l’état de l’ordinateur ou de l’appareil d’un utilisateur et prétendre qu’ils peuvent optimiser le PC de l’utilisateur.
  • Rendez le processus de désinstallation trouvable, simple et non menaçant. Votre programme doit comporter des instructions clairement étiquetées pour ramener le navigateur et/ou le système à ses paramètres précédents. Le programme de désinstallation doit supprimer ru_RU_SAVE_FOR_LATER
    composants et ne pas dissuader l’utilisateur de poursuivre le processus de désinstallation, par exemple
    en affirmant qu’il existe des effets négatifs potentiels sur le système ou la confidentialité de l’utilisateur si le logiciel
    est désinstallé.
• Dis-moi qui tu hais, je te dirai qui tu es. Si votre logiciel regroupe d’autres composants logiciels,
  vous êtes responsable de vous assurer qu’aucun de ces composants ne enfreint
  recommandations.

Consignes relatives aux extensions Chrome

• Toutes les extensions doivent être divulguées et installées dans Chrome pour être conformes aux règles.
  Les extensions doivent être hébergées sur le Chrome Web Store, désactivées par défaut et conformes au Chrome
  Web Store règles (y compris la règle d’utilisation unique).
  Les extensions installées à partir d’un programme doivent utiliser le
  flux d’installation autorisé des extensions Chrome,
  qui invitera l’utilisateur à les activer dans Chrome. Les extensions ne peuvent pas masquer les boîtes de dialogue Chrome avertissant l’utilisateur des modifications de paramètres.
  
• Indiquez aux utilisateurs comment supprimer une extension Chrome. Une bonne expérience utilisateur se produit
  lorsqu’un utilisateur désinstalle un programme et que tout ce qui a été installé avec lui est également supprimé.
  Le flux de désinstallation comprend des instructions permettant à l’utilisateur de désactiver et de supprimer lui-même
  l’extension.
• Si votre fichier binaire installe un module complémentaire de navigateur ou modifie les paramètres par défaut du navigateur, il doit
  suivre le flux d’installation et l’API pris en charge par le navigateur. Par exemple, si le fichier binaire
  installe une extension Chrome, elle doit être hébergée sur le Chrome Web Store et respecter les conditions du Chrome
  Règles du programme pour les développeurs.
  Votre fichier binaire sera identifié comme un logiciel malveillant s’il installe une extension Chrome en violation de la
  règle relative aux options de distribution d’extensions alternatives de Chrome.
  • En savoir plus sur les installations silencieuses
    dans le blog Chromium et sur notre
    Blog sur la sécurité en ligne.
  • Lire comment publier des extensions sur le Chrome Web Store.

Consignes relatives aux applications mobiles

• Informez les utilisateurs de votre intention de collecter leurs données. Offrez aux utilisateurs la
  possibilité de consentir à la collecte de leurs données avant de commencer à les collecter et à les envoyer
  depuis l’appareil, y compris les données concernant les comptes tiers, l’e-mail, le numéro de téléphone,
  les applications installées et les fichiers sur l’appareil mobile. Assurez-vous de traiter en toute sécurité toutes les données
  personnelles ou sensibles des utilisateurs que vous collectez, notamment en utilisant une cryptographie moderne lors de la transmission (par
  exemple, via HTTPS). Pour les applications hors Play Store, vous devez divulguer la collecte de données à l’utilisateur dans l’application. Pour les applications Google Play, la divulgation doit être conforme au règlementde Play.
  Ne collectez pas de données qui vont au-delà de l’utilisation déclarée de votre application.

• Ne vous faites pas passer pour une autre marque ou application. N’utilisez pas d’images ou de designs
  inappropriés ou non autorisés similaires à ceux d’une autre marque ou application d’une manière susceptible de perturber
  l’utilisateur.
• Conservez tout le contenu dans le contexte de l’application. Les applications ne doivent pas interférer
  avec d’autres applications et la convivialité de l’appareil. Les applications ne doivent pas afficher de publicités ou de contenu
  supplémentaire à l’utilisateur en dehors du contexte ou de la fonction de l’application elle-même sans obtenir
  le consentement éclairé de l’utilisateur et sans inclure une attribution claire de la source des publicités partout
  où ces publicités apparaissent.
• L’application doit tenir ses promesses envers l’utilisateur. Toutes les fonctionnalités
  annoncées doivent être accessibles à l’utilisateur dans l’application. Les applications peuvent mettre à jour le contenu de l’application mais
  ne doivent pas télécharger d’applications supplémentaires sans obtenir le consentement éclairé de l’utilisateur.
• Maintenez un comportement transparent. Les applications ne doivent pas désinstaller ou remplacer d’autres
  applications ou leurs raccourcis, à moins que ce ne soit l’objectif déclaré de l’application. La désinstallation doit être
  claire et complète. Les applications ne doivent pas imiter les invites du système d’exploitation de l’appareil ou d’autres applications.

Les applications distribuées via Google Play doivent être conformes au Règlement du programme
pour les développeurs et à l’ Accord de distribution
pour les développeurs, qui comportent des exigences supplémentaires.