2 La chaîne de traçabilité des preuves numériques est l’enregistrement documenté qui montre qu’un fichier présenté au tribunal est exactement celui qui a été collecté, et que chaque personne et chaque système qui l’a manipulé est identifié. Pour les preuves physiques, la chaîne de traçabilité, ce sont des sachets scellés, des signatures et un registre des scellés. Pour les preuves numériques, les mêmes principes s’appliquent, mais le sachet est un système de stockage et les signatures sont des empreintes cryptographiques et des enregistrements d’audit. Lorsque la chaîne est rompue, la défense peut contester l’authenticité, un juge peut écarter la preuve ou un jury peut lui accorder moins de poids. La plupart des contrôles qui maintiennent la chaîne intacte se trouvent dans l’application de gestion des preuves, mais la couche de stockage sous-jacente les renforce ou les fragilise. Cet article explique comment. Ce que la chaîne de traçabilité des preuves numériques doit démontrer Une chaîne défendable répond à quatre questions : Qui a collecté, consulté, copié ou exporté le fichier ? Quand chaque action a-t-elle eu lieu ? Quoi : quelle action a été effectuée (consultation, copie, caviardage, partage, suppression) ? Le fichier a-t-il été modifié ? L’agence peut-elle prouver que les données sont identiques à celles collectées ? Les trois premières réponses proviennent des journaux d’audit, tenus à la fois par l’application de gestion des preuves et par la plateforme de stockage. La quatrième repose sur le hachage cryptographique et sur un stockage qui empêche toute modification silencieuse. Le hachage : le scellé numérique Une fonction de hachage cryptographique produit une empreinte de longueur fixe d’un fichier. Modifiez un seul bit et l’empreinte change complètement. Les systèmes de gestion des preuves calculent généralement une empreinte au moment de l’ingestion (SHA-256 est aujourd’hui largement utilisé) et la stockent avec les métadonnées du fichier. Toute copie ultérieure peut être hachée à nouveau et comparée. Une correspondance montre que la copie est identique à l’original. Le hachage a aussi une portée juridique. Aux États-Unis, la règle fédérale de preuve 902(14), en vigueur depuis le 1er décembre 2017, permet aux données copiées depuis un appareil électronique, un support de stockage ou un fichier d’être auto-authentifiées lorsqu’une personne qualifiée certifie qu’elles ont été identifiées par un procédé d’identification numérique, comme la correspondance des valeurs de hachage. De nombreux États ont des règles ou pratiques similaires. Un hachage cohérent à la collecte, au transfert et à l’export est donc un élément central de la chaîne de traçabilité des preuves numériques. L’immuabilité : rendre la modification impossible, pas seulement détectable Les empreintes prouvent si un fichier a changé. L’immuabilité empêche le changement en amont. Les contrôles WORM (écriture unique, lectures multiples), comme l’Object Lock en mode conformité, empêchent quiconque d’écraser ou de supprimer un fichier avant la fin de sa période de conservation, y compris les administrateurs disposant de tous les privilèges. C’est important pour la chaîne de traçabilité, car cela supprime toute une catégorie de contestations. Si le système de stockage ne peut pas modifier le fichier, l’argument selon lequel il aurait pu être altéré au repos est bien plus faible. Cela protège aussi contre le chiffrement des preuves par un ransomware et contre les suppressions accidentelles. Le versioning complète l’immuabilité. Lorsqu’une copie caviardée est créée, elle doit constituer un nouvel objet avec sa propre empreinte et sa propre filiation, et non une modification de l’original. Des journaux d’audit à chaque couche L’application de gestion des preuves enregistre les actions des utilisateurs : qui a recherché, consulté, téléchargé ou partagé un fichier. La couche de stockage doit tenir ses propres journaux des appels API, des actions d’administration, des changements de politique et des accès par les comptes de service. Deux journaux indépendants rendent la falsification plus difficile à dissimuler et donnent aux auditeurs un moyen de recouper. De bons journaux d’audit de stockage sont : Complets, couvrant les lectures, écritures, suppressions et changements de configuration. Synchronisés dans le temps, pour que les événements concordent entre les systèmes. Protégés contre la modification, idéalement écrits eux-mêmes sur un stockage immuable. Conservés au moins aussi longtemps que les preuves qu’ils décrivent ; certaines lois imposent de conserver les journaux de suppression de façon permanente. Les principes sont présentés dans la piste d’audit du stockage (en anglais). Des contrôles d’intégrité dans la durée Les preuves conservées pendant des années font face à un risque plus discret : la dégradation silencieuse des données et la défaillance des supports. Les plateformes de stockage qui conservent une somme de contrôle pour chaque objet et la vérifient périodiquement peuvent détecter et réparer la corruption avant que quiconque ne s’en aperçoive. Cette vérification en arrière-plan, associée au codage à effacement ou à la réplication, garantit que le fichier récupéré des années plus tard correspond toujours à son empreinte d’origine. Le fonctionnement est décrit dans la vérification d’intégrité du stockage objet (en anglais) et dans la durabilité des données dans les systèmes de stockage haute densité (en anglais). Contrôle d’accès et séparation des tâches La chaîne de traçabilité consiste aussi à limiter qui peut accéder aux preuves : Un accès fondé sur les rôles, pour que les agents de patrouille, enquêteurs, procureurs et agents des archives ne voient que ce dont ils ont besoin. L’authentification multifacteur (en anglais), que la CJIS Security Policy impose pour l’accès aux informations de justice pénale. Une séparation entre les administrateurs du stockage et les gardiens des preuves, pour qu’aucune personne ne puisse à la fois modifier la politique de conservation et accéder aux preuves. Le chiffrement au repos et en transit avec des clés gérées. La CJIS Security Policy 6.1, publiée en juin 2026, a porté à 256 bits la force de chiffrement minimale pour les principaux contrôles. La séparation des tâches mérite une attention particulière dans les petites agences, où un seul administrateur informatique peut tout gérer. Même dans ce cas, les changements de politique de conservation peuvent exiger un second approbateur, et les actions au niveau du stockage peuvent être journalisées dans un emplacement que l’administrateur ne peut pas modifier. Ces deux contrôles suffisent à répondre à bon nombre des questions que soulève habituellement la défense. La chaîne de traçabilité à travers les copies et les transferts Les preuves circulent : de la caméra à la station d’accueil, de la station au référentiel, du référentiel au procureur, du procureur à la défense. Chaque étape est un point où la chaîne peut se rompre. Les bonnes pratiques consistent à hacher avant et après chaque transfert, à utiliser des méthodes de transfert sécurisées, à journaliser chaque export avec les coordonnées du destinataire et à produire des exports accompagnés d’un manifeste des empreintes. Lorsque des preuves sont répliquées vers un second site ou migrées vers un nouveau stockage, la même vérification doit être effectuée et enregistrée. Les causes courantes de rupture de la chaîne La plupart des problèmes de chaîne de traçabilité ne relèvent pas d’une falsification spectaculaire. Ce sont des lacunes qui empêchent de prouver qu’il ne s’est rien passé : Des preuves copiées sur des clés USB ou des dossiers partagés en dehors du système de gestion des preuves, sans empreinte enregistrée ni trace de qui les a manipulées. Des comptes administrateurs partagés, de sorte que les journaux indiquent qu’« admin » a fait quelque chose, mais pas quelle personne. Une dérive des horloges entre stations d’accueil des caméras, serveurs et stockage, qui rend la séquence des événements difficile à reconstituer. Une conservation des journaux plus courte que celle des preuves, de sorte que les traces d’accès ont disparu lorsqu’un appel survient des années plus tard. Des migrations non vérifiées, où des preuves ont été déplacées vers un nouveau matériel ou un nouvel éditeur sans hachage avant et après. Des caviardages enregistrés par-dessus les originaux, ne laissant aucune copie intacte. Chacune de ces situations peut être évitée par une politique associée à un stockage qui l’applique. Ce que demandent les procureurs et la défense Lorsqu’une preuve est contestée, les questions sont prévisibles. Les procureurs veulent montrer un historique complet : empreinte d’origine, chaque accès et chaque export, et confirmation que la version produite correspond à l’original. La défense peut demander qui disposait de droits d’administration sur le stockage, si des suppressions étaient possibles, si des fichiers liés au même incident manquent et comment l’agence sait que les horodatages sont exacts. Une agence capable de répondre à ces questions à partir d’enregistrements, plutôt que de mémoire, est en bien meilleure position. Concevoir dès le départ le stockage et la journalisation autour de ces questions coûte moins cher que de reconstituer les réponses après coup. Check-list : les fonctions de stockage qui soutiennent la chaîne de traçabilité des preuves numériques Empreinte calculée à l’ingestion et stockée avec les métadonnées. Nouvelle vérification à chaque copie, export et migration. Verrous de conservation à écriture unique que les administrateurs ne peuvent pas contourner. Versioning pour que les caviardages et modifications n’écrasent jamais les originaux. Journaux d’audit du stockage indépendants et immuables. Vérification d’intégrité en arrière-plan avec réparation automatique. MFA, accès fondé sur les rôles et séparation des tâches. Chiffrement au repos et en transit conforme aux exigences CJIS actuelles. Manifestes d’export incluant les empreintes et les enregistrements de traçabilité. En résumé La chaîne de traçabilité des preuves numériques repose sur le hachage, l’immuabilité, la journalisation, les contrôles d’intégrité et un contrôle d’accès strict. L’application de gestion des preuves l’orchestre, mais c’est la couche de stockage qui détermine si ces contrôles tiennent pendant la décennie, voire plus, que certaines preuves doivent traverser. Les agences qui évaluent un stockage doivent se demander non seulement combien il peut contenir, mais comment il prouve que ce qu’il contient n’a jamais changé. Pour l’ensemble des exigences, consultez notre guide sur le stockage des preuves numériques. Questions fréquentes Quel algorithme de hachage utiliser pour les preuves numériques ? SHA-256 est aujourd’hui largement utilisé. Des algorithmes plus anciens comme MD5 et SHA-1 se rencontrent encore dans des outils historiques, mais ils sont considérés comme plus faibles : de nombreuses agences enregistrent donc SHA-256 en complément ou à leur place. Le stockage immuable remplace-t-il le hachage ? Non. L’immuabilité empêche le changement ; le hachage prouve qu’aucun changement n’a eu lieu. Les tribunaux et les auditeurs attendent les deux. Qui doit pouvoir supprimer des preuves numériques ? Uniquement les gardiens habilités appliquant un calendrier de conservation approuvé, en l’absence de conservation légale active, et chaque suppression doit être journalisée de façon permanente. Que devient la chaîne de traçabilité lors d’une migration du stockage ? Chaque objet doit être haché avant et après le déplacement et les résultats enregistrés. Les plateformes qui renouvellent le matériel sur place sans migration massive réduisent ce risque. Les journaux de stockage sont-ils recevables devant un tribunal ? Les journaux peuvent étayer l’authentification lorsqu’ils sont complets, protégés contre la falsification et expliqués par un témoin qualifié. Les règles de recevabilité varient selon les juridictions. Pour aller plus loin Stockage des preuves numériques Conservation des preuves numériques Stockage des vidéos de caméras-piétons DEMS dans le cloud ou stockage des preuves sur site Piste d’audit du stockage (en anglais)
