Un hébergement vidéo sécurisé, avec un vrai contrôle sur qui regarde

L’hébergement vidéo sécurisé est un hébergement où chaque maillon entre celui qui téléverse et celui qui regarde est sécurisé séparément : le compte de l’équipe, le stockage, le lien, le flux, le téléchargement et l’intégration.

On dirait une liste de brochure. Mais regardez où la chaîne casse d’habitude. Pas au niveau du chiffrement — tout le monde le fait depuis longtemps. Elle casse là où c’est pratique : un lien transféré, un identifiant partagé à trois, un dossier accessible à « tous ceux qui ont le lien » (en anglais), un lecteur copié sur le site de quelqu’un d’autre.

Imaginez une vidéo sur une réorganisation que la direction ne montrera aux salariés que vendredi. Elle est prête dès mardi. Les trois jours entre « prête » et « disponible », c’est exactement là qu’il faut un hébergement vidéo sécurisé : la vidéo existe, fonctionne, est en cours de validation — et personne d’autre ne peut la voir. Un cloud ordinaire n’est pas conçu pour cela — nous expliquons pourquoi dans l’article hébergement vidéo ou stockage cloud (en anglais).

Chez VodSpot, c’est la routine : la vidéo est privée dès son téléversement, la page de validation est protégée par mot de passe et expire vendredi, les téléchargements sont désactivés, et vendredi, vous ouvrez l’accès à tous en un clic.

La sécurité n’est pas un coffre-fort. C’est un emploi du temps : qui, quoi et jusqu’à quand.

Pour la plupart des services, le mot de passe sur le lien est le verrou principal, et souvent le seul. L’hébergement vidéo sécurisé commence là où un mot de passe seul ne suffit plus.

Zoom montre bien comment un « lien en guise de verrou » peut céder. En 2019, des chercheurs de Check Point ont démontré qu’ils pouvaient deviner environ 4 % des numéros de réunion générés au hasard : si une réunion n’avait pas de mot de passe, ces 9 à 11 chiffres étaient la seule chose qui la protégeait (Check Point Research, janvier 2020). Zoom a réagi comme presque tous les services : en activant les mots de passe par défaut.

Le mot de passe a bouché un trou et en a ouvert un autre. Un mot de passe est un secret partagé. Il part dans le même email que le lien (pour le partager correctement, voir notre guide des mots de passe vidéo (en anglais)), il est transféré à un collègue « pour qu’il regarde aussi » ou posté dans une discussion de groupe. Il protège la page des inconnus, pas des transferts.

C’est pourquoi l’hébergement vidéo sécurisé de VodSpot offre deux niveaux de plus. Le premier : une page de livraison distincte pour chaque destinataire — le distributeur a son lien, l’agence a le sien, et en révoquer un ne touche pas les autres. Le second : la connexion par email — le spectateur saisit son adresse email et un code à usage unique envoyé à cette adresse. Un lien transféré ne sert à rien sans accès à la boîte de réception du destinataire.

Un mot de passe dit « l’un des nôtres ». La connexion par email dit « lequel ».

Le DRM (Digital Rights Management, gestion des droits numériques) chiffre la vidéo pour que seul un lecteur de confiance sur un appareil de confiance puisse la lire. C’est sur lui que reposent Netflix et Disney+. Pour un studio, une agence ou un auteur de cours, c’est généralement excessif — et voici pourquoi.

Chez Vimeo, le DRM est une option du forfait Enterprise, vendu uniquement par l’équipe commerciale. L’aide de Vimeo indique honnêtement le prix de ce confort : les vidéos protégées par DRM « will not work on third-party players » et « may be capped at 720p in certain environments ». Wistia, lui aussi, ne propose la protection de la lecture que dans son forfait Enterprise. Vous payez donc le prix Enterprise pour que vos clients regardent votre film 4K en 720p.

Et surtout : le DRM n’empêche pas un téléphone de filmer l’écran. C’est pourquoi même les grands studios ajoutent des filigranes par-dessus le DRM, pour savoir quelle copie a fuité. Pour en savoir plus sur les types de filigranes et sur les cas où ils fonctionnent, lisez notre article qu’est-ce qu’un filigrane vidéo (en anglais).

L’hébergement vidéo sécurisé de VodSpot prend une autre voie. Nous n’avons pas de DRM, et nous ne le cachons pas. En revanche, à partir du forfait Studio, l’email confirmé du spectateur se déplace en transparence sur l’image — même en plein écran. Le lecteur est standard, la 4K reste de la 4K, et quiconque veut filmer l’écran filmera aussi son propre nom.

Le DRM verrouille le fichier. Le filigrane signe la copie.

Ce qu’il y a de plus précieux dans un hébergement vidéo sécurisé, ce n’est pas le lien, mais le compte d’où partent ces liens. Tout y est visible : chaque projet, chaque master, chaque client.

Imaginez Andre : il dirige un studio de postproduction de cinq personnes à Burbank. Il engage un étalonneur indépendant pour une semaine. L’indépendant reçoit un email de « partenariat » avec une pièce jointe ; il ouvre le fichier, et un logiciel malveillant vole ses cookies de session dans le navigateur. Pas besoin de mot de passe, pas besoin de second facteur — l’attaquant se connecte en tant qu’étalonneur.

Ce n’est pas de la fiction. En 2021, l’équipe d’analyse des menaces de Google a décrit exactement cette campagne contre des créateurs YouTube : des emails promettant une collaboration, un logiciel malveillant et le vol de cookies. Google a recensé environ 15 000 comptes malveillants et rendu environ 4 000 comptes à leurs propriétaires (Google Threat Analysis Group, octobre 2021). Le détournement de session contourne à la fois les mots de passe et l’authentification à deux facteurs.

Le second facteur est-il donc inutile ? Au contraire. Une étude menée en 2019 par Google avec NYU et UC San Diego a montré que même un code par SMS arrête 100 % des robots automatisés, 96 % du phishing de masse et 76 % des attaques ciblées, tandis que la vérification sur l’appareil arrête 100 %, 99 % et 90 % des attaques. Le second facteur bloque presque tout. Le reste est bloqué par les rôles, les sessions et le journal.

Voici à quoi cela ressemble pour Andre chez VodSpot. L’étalonneur faisait partie de l’équipe avec le rôle d’éditeur, pas de propriétaire : il ne peut ni supprimer des projets ni toucher à la facturation. À 3 h 12 du matin, « il » publie une page de livraison avec une publicité pas encore diffusée. Le matin, Andre la voit dans le journal d’activité : qui, quoi et quand. Il dépublie la page — le lien cesse de fonctionner, les visionnages en cours s’arrêtent en une minute environ — et retire l’étalonneur de l’équipe. L’étalonneur ferme toutes ses sessions et active l’authentification à deux facteurs. Les dégâts se limitent à une nuit, pas aux archives du studio.

On ne pirate pas la vidéo. On pirate les personnes qui y ont accès.

Une sécurité difficile à utiliser finit désactivée. Les chercheurs du NIST appellent cela la « lassitude sécuritaire » : quand les règles et les mots de passe sont trop nombreux, les gens prennent le chemin le plus facile et se mettent à enfreindre les règles (Stanton et al., NIST, 2016). Un bon hébergement vidéo sécurisé ne se juge donc pas à la longueur de sa liste de fonctionnalités, mais à ce qui est activé par défaut.

Posez ces questions au service :

• Les vidéos sont-elles privées dès leur téléversement ? Ou publiques d’abord, jusqu’à ce que vous pensiez à les passer en privé ?
• Peut-on désactiver un lien sans supprimer la vidéo ? Les autres liens continueront-ils de fonctionner ?
• Y a-t-il une connexion par email, et pas seulement un mot de passe partagé ? Et voit-on clairement qui a ouvert la page ?
• Le téléchargement se règle-t-il pour chaque vidéo ? Oui pour le montage final, non pour les brouillons.
• Peut-on verrouiller le lecteur sur vos propres domaines ? Pour que le code copié ne se lise pas sur le site de quelqu’un d’autre.
• N’y a-t-il aucune URL de fichier publique ? Ou un lien de stockage peut-il être transféré et s’ouvrir encore un an plus tard ?
• L’équipe a-t-elle des rôles, l’authentification à deux facteurs et un journal ? Ou tout le monde travaille-t-il sous le même identifiant ?
• La révocation arrête-t-elle les visionnages déjà en cours ? Ou seulement les nouveaux ?

Avec l’hébergement vidéo sécurisé de VodSpot, la réponse à chaque question est « oui ». Quand cela dépend du forfait, voir les tarifs.

La meilleure protection est celle qu’on n’a pas besoin de penser à activer.