L'extension est le produit : vous lancez l'enregistrement dans le navigateur, vous déroulez la procédure une fois, et un mode opératoire en ressort. C'est aussi la raison pour laquelle la DSI bloque l'achat. Un outil capable de transformer n'importe quel écran en document est, par construction, un outil capable de lire n'importe quel écran.
La discussion se passe mal en fin de processus d'achat, et bien quand l'acheteur arrive avec les réponses. Voici l'examen qu'une équipe informatique européenne devrait nous faire subir.
Transparence : nous éditons Loopyback, un outil de documentation hébergé en Belgique, avec une extension Chrome. Nous ne sommes pas neutres, et tout ce qui suit peut être retourné contre nous aussi facilement que contre n'importe qui d'autre.
Lire la chaîne de permissions avant la plaquette commerciale
« Lire et modifier toutes vos données sur tous les sites web » : voilà à quoi ressemble, vue de l'extérieur, une permission d'hôte large. L'avertissement de Chrome ne dit rien de ce que l'éditeur fait de cet accès, et c'est tout le problème. Demandez le bloc `permissions` du `manifest.json` : fichier public, présent dans toute extension publiée. Un éditeur qui hésite a répondu à une autre question.
| Permission | Ce qu'elle autorise | Pourquoi un outil de documentation peut en avoir besoin | Ce qu'il faut demander |
|---|---|---|---|
| Hôte `<all_urls>` | Lire et modifier les pages sur tous les sites | Le domaine de l'application interne à documenter est inconnu à l'avance | Peut-on la restreindre à une liste de domaines, par stratégie d'entreprise ? |
| `activeTab` | Accès au seul onglet courant, après action de l'utilisateur | L'enregistrement ne démarre que sur un clic délibéré | Remplace-t-elle une permission d'hôte permanente ? |
| `scripting` | Injecter du code dans les pages | Surligner l'élément cliqué, afficher les repères d'étape | L'injection est-elle permanente ou limitée à l'enregistrement ? |
| `tabs` | Lire les URL et titres des onglets | Nommer les étapes, détecter les navigations | Les URL sont-elles stockées ou utilisées seulement en session ? |
| `desktopCapture` / `tabCapture` | Capture d'écran ou d'onglet | Captures et enregistrements | La capture peut-elle s'exécuter hors session explicite ? |
| `cookies` | Lire la valeur des cookies | Rarement justifiée pour de la capture | Le cas d'usage précis, par écrit |
| `storage` | Stockage local de l'extension | Conserver un brouillon avant envoi | Quelles données en cache, et combien de temps ? |
Manifest V3 réduit ce qu'une extension peut faire à votre trafic, pas ce qu'elle peut lire sur une page. « Nous sommes en MV3 » n'est pas une réponse à une question de données.
Quatre questions que les permissions ne tranchent pas
Quand la capture démarre-t-elle et s'arrête-t-elle ? L'écart est considérable entre une extension qui ne capture qu'entre un démarrage et un arrêt explicites, et une extension qui maintient une mémoire tampon glissante pour paraître instantanée.
Où part la capture, et quand est-elle expurgée ? Floutée côté serveur, l'image d'origine a circulé et a été écrite quelque part. Expurgée dans le navigateur avant l'envoi, elle reste hors du circuit : une opération de traitement au lieu de deux.
Qu'est-ce qui est exclu par défaut ? La plupart des éditeurs indiquent ne pas capturer les champs de mot de passe. Tango l'indique publiquement, tout en précisant ne pas pouvoir contrôler ce que l'utilisateur choisit de capturer. Cette seconde moitié est la partie honnête, et elle vaut pour toute la catégorie, nous compris. Le masquage est un plancher, pas une mesure de maîtrise.
Qui est responsable de traitement, qui est sous-traitant ? Vous répondez de tout ce que vos collaborateurs enregistrent. L'éditeur est sous-traitant : contrat au sens de l'article 28 du RGPD, liste de sous-traitants ultérieurs à jour, réponse nette sur la localisation du stockage.
La couche européenne, et sa déclinaison française
Article 28. Pas de contrat de sous-traitance, pas d'achat. Exigez une liste de sous-traitants ultérieurs publiée et versionnée plutôt que « disponible sur demande », avec notification préalable et droit d'opposition.
Article 35 et AIPD. La CNIL publie une liste de traitements soumis à AIPD obligatoire (délibération n° 2018-327 du 11 octobre 2018), qui vise notamment ceux ayant pour finalité de surveiller de manière constante l'activité des employés. Un outil déclenché ponctuellement par le salarié n'y tombe pas mécaniquement : la question à poser à votre DPO est de savoir si votre déploiement réel se rapproche d'une surveillance systématique.
Consultation du CSE. L'article L2312-8 du Code du travail prévoit, dans les entreprises d'au moins cinquante salariés, l'information et la consultation du CSE sur l'introduction de nouvelles technologies et sur tout aménagement important modifiant les conditions de travail. Une extension de capture d'écran entre-t-elle dans ce cadre ? À trancher avec votre direction juridique, pas à supposer ; nous détaillons la démarche dans notre article sur la consultation du CSE.
NIS2 et ANSSI. L'article 21(2)(d) porte sur la sécurité de la chaîne d'approvisionnement, et un éditeur de documentation détient des guides décrivant vos procédures d'accès et de gestion d'incident. Prudence sur le calendrier français : à l'été 2026, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, censé transposer NIS2, n'était pas encore adopté définitivement. L'ANSSI est l'autorité compétente prévue, mais vérifiez l'état du texte et votre périmètre au moment de l'achat. Nous y revenons dans NIS2 et documentation des procédures de sécurité.
Transferts. Un hébergement hors UE n'est pas une impasse, c'est une question de chapitre V. Demandez le mécanisme de transfert retenu, la certification éventuelle au titre du cadre UE–États-Unis, et la conclusion de l'analyse d'impact. Un hébergement européen supprime la question au lieu d'y répondre : argument de charge documentaire, rien de plus.
Ce que vous pouvez imposer sans la coopération de l'éditeur
Chrome Enterprise permet d'encadrer une extension approuvée plutôt que de faire confiance en bloc, via la stratégie `ExtensionSettings`.
| Paramètre | Effet | Usage pour une extension de documentation |
|---|---|---|
| `installation_mode` | `allowed`, `blocked`, `removed`, `force_installed`, `normal_installed` | Imposer la version approuvée, pour éviter l'installation d'un clone |
| `blocked_permissions` | L'extension ne se charge pas si elle requiert une permission listée | Bloquer `cookies` faute de justification |
| `runtime_blocked_hosts` | Ni lecture ni modification des pages des hôtes listés (100 entrées maximum) | Bloquer les domaines paie, RH et bancaires |
| `runtime_allowed_hosts` | Lève le blocage pour les hôtes nommés | N'autoriser que les systèmes réellement à documenter |
`runtime_blocked_hosts` est la mesure la plus sous-utilisée : elle transforme « nous faisons confiance à l'éditeur » en « l'extension ne peut techniquement pas voir le SIRH », phrase bien plus facile à présenter à un CSE ou à un DPO.
Où se situe Loopyback, honnêtement
Nous hébergeons dans l'UE, en Belgique, et les données personnelles détectées sont expurgées dans le navigateur avant l'envoi. Tarifs en euros : une offre gratuite, 16 € par mois en individuel, 24 € par utilisateur pour les équipes.
Ce que nous ne faisons pas : nous ne sommes ni un navigateur d'entreprise ni une plateforme de gouvernance des extensions, nous ne proposons pas de déploiement sur site, et notre expurgation automatique repose sur de la reconnaissance de motifs. Elle traite bien les identifiants structurés, moins bien un nom en texte libre dans un ticket. L'expurgation manuelle existe pour cette raison, et toute capture exige une relecture humaine avant publication.
Erreurs fréquentes
Valider l'extension une fois sans jamais la réexaminer. Les mises à jour sont automatiques : la version évaluée n'est pas celle du trimestre prochain.
Prendre l'avertissement de Chrome pour une analyse de risque. Il décrit une capacité, pas un comportement, et il est identique pour un outil soigneux et pour un outil négligent.
Sauter l'AIPD parce que « c'est le salarié qui lance l'enregistrement ». Son consentement est rarement une base légale valable, et le volontariat ne change rien au caractère systématique du traitement.
Laisser chaque service installer le sien. Trois extensions dans trois équipes, ce sont trois sous-traitants, trois contrats et personne pour porter la revue.
Croire que SOC 2 répond à la question RGPD. C'est un audit de dispositifs de contrôle, pas une position sur la licéité, la localisation ou les sous-traitants ultérieurs.
Questions fréquentes
Le salarié déclenche l'enregistrement : cela écarte-t-il la qualification de surveillance ?
Pas à lui seul. Dans plusieurs États membres, le critère est de savoir si la technologie est objectivement propre à observer le comportement ou la performance, indépendamment de l'intention de l'employeur.
Peut-on se passer de l'extension de navigateur ?
Certains outils proposent une application de bureau ou un import manuel : c'est un risque échangé contre un autre, car un agent installé sur le poste voit davantage, pas moins. Il n'est simplement pas dans la session du navigateur, à côté de vos identifiants SaaS.
Le chiffrement en transit et au repos suffit-il ?
Nécessaire, pas suffisant. Il traite la confidentialité vis-à-vis des tiers, mais ne dit rien de la localisation, des accès internes chez l'éditeur, ni des sous-traitants ultérieurs.
Qu'est-ce qui, dans l'AIPD, est propre à ce type d'outil ?
Le déclencheur de la capture, le point d'expurgation (navigateur ou serveur), la conservation éventuelle des originaux, le modèle de partage des guides publiés, et la liste des systèmes où l'extension peut s'exécuter.
Fondateur de Loopyback
Daan est le fondateur de Loopyback, un outil belge qui transforme les workflows en guides étape par étape. Il écrit sur la documentation, les SOP et le partage du savoir.