On vient de récupérer un nouveau PC au bureau, on a besoin d’un outil de retouche photo ou d’un utilitaire de compression, et le premier réflexe est de taper le nom du logiciel dans un moteur de recherche. Le lien qui s’affiche en tête n’est pas toujours celui de l’éditeur.
Parfois, c’est une copie quasi parfaite du site officiel, hébergée sur un domaine acheté la veille, qui distribue un installateur modifié contenant un programme malveillant. Télécharger et installer un logiciel en toute sécurité commence par ce premier geste : vérifier l’adresse avant de cliquer.
Vérifier la source du fichier avant tout téléchargement
Le scénario classique est celui-ci : on cherche « VLC télécharger » et on clique sur le premier résultat sponsorisé. Le site ressemble au vrai, le bouton de téléchargement est identique, mais l’URL ne correspond pas au domaine officiel de l’éditeur. Ce type de piège repose sur des noms de domaine proches (une lettre en plus, un tiret ajouté, une extension différente).
Avant de lancer un téléchargement, on vérifie deux choses. D’abord, que l’URL dans la barre d’adresse correspond bien au site officiel de l’éditeur du logiciel. Ensuite, que la connexion est chiffrée (cadenas dans le navigateur). Un site sans HTTPS qui propose un exécutable à télécharger est un signal d’alerte net.
Les plateformes de distribution reconnues (Microsoft Store, le site de l’éditeur, des dépôts comme GitHub pour les projets open source) restent les sources les plus fiables. Comme le détaille le site Information Influx, croiser la source de téléchargement avec le site officiel de l’éditeur est un réflexe qui évite la majorité des installateurs piégés.
Un détail qui passe souvent inaperçu : les résultats sponsorisés dans les moteurs de recherche ne sont pas soumis aux mêmes filtres que les résultats naturels. Privilégier les résultats organiques réduit le risque de tomber sur un faux site.
Fichier téléchargé : les contrôles à faire avant l’installation
Une fois le fichier sur le disque, on ne double-clique pas immédiatement. Le premier contrôle utile est la vérification de l’empreinte du fichier (hash SHA-256). De nombreux éditeurs publient cette empreinte sur leur page de téléchargement. On la compare avec celle du fichier récupéré via un utilitaire intégré au système (certutil sous Windows, shasum sous macOS ou Linux). Si les deux empreintes ne correspondent pas, le fichier a été modifié en chemin.
Le second contrôle concerne la signature numérique de l’installateur. Sous Windows, un clic droit sur le fichier .exe, puis « Propriétés » et l’onglet « Signatures numériques », permet de voir si l’éditeur a signé le programme. Un installateur non signé provenant d’un éditeur commercial est suspect.
Passer le fichier dans un antivirus avant exécution
Même avec un antivirus actif en arrière-plan, lancer une analyse manuelle du fichier téléchargé avant de l’ouvrir ajoute une couche de vérification. Certains antivirus n’interceptent les menaces qu’au moment de l’exécution, pas au moment du téléchargement. L’analyse manuelle force une inspection complète du fichier au repos.
Pour les fichiers douteux, des services en ligne comme VirusTotal permettent de soumettre un fichier et de le faire analyser par plusieurs dizaines de moteurs antivirus simultanément. Un fichier signalé par plusieurs moteurs est à supprimer sans hésitation.
Logiciels gratuits et programmes indésirables : lire chaque écran d’installation
Les logiciels gratuits financés par la publicité intègrent régulièrement des programmes additionnels dans leur installateur. On les appelle parfois « bundleware » : barres d’outils pour le navigateur, utilitaires d’optimisation système, ou changement du moteur de recherche par défaut. Ces ajouts ne sont pas des virus au sens strict, mais ils alourdissent le système et collectent des données de navigation.
Le piège se situe dans les écrans d’installation que la plupart des utilisateurs valident en cliquant sur « Suivant » sans lire. La case « installation recommandée » ou « installation express » inclut presque toujours ces composants supplémentaires. Voici les réflexes à appliquer lors de chaque installation :
- Choisir systématiquement l’option « installation personnalisée » ou « avancée », même pour un logiciel de confiance, afin de voir la liste complète des composants proposés
- Décocher toute case pré-cochée concernant un programme tiers, un changement de page d’accueil du navigateur ou un « partenaire » de l’éditeur
- Lire chaque écran d’installation jusqu’au bout avant de cliquer sur « Suivant », y compris les mentions en petits caractères en bas de fenêtre
- Si un logiciel exige l’installation d’un composant tiers sans possibilité de refuser, envisager une alternative open source qui n’impose rien
Mises à jour de sécurité : un logiciel installé n’est jamais « terminé »
Un logiciel installé et fonctionnel n’est pas un dossier clos. Les failles de sécurité apparaissent après la sortie d’une version, et les correctifs arrivent sous forme de mises à jour. Un logiciel non mis à jour devient une porte d’entrée pour les attaques, même s’il a été téléchargé depuis une source fiable à l’origine.
Le règlement européen sur la cyberrésilience (Cyber Resilience Act), entré en vigueur en décembre 2024, impose progressivement aux éditeurs de logiciels une gestion des vulnérabilités et un suivi par mises à jour correctives pendant la durée de vie du produit. Les principales obligations s’appliqueront à partir du 11 décembre 2027, avec une échéance intermédiaire au 11 septembre 2026 pour le signalement des vulnérabilités activement exploitées.
Choisir un logiciel encore activement maintenu
Avant d’installer un programme, on peut vérifier la date de sa dernière mise à jour sur le site de l’éditeur ou sur son dépôt de code. Un logiciel dont la dernière version remonte à plusieurs années, sans mention de correctif de sécurité, pose un problème concret : les vulnérabilités découvertes depuis ne seront jamais corrigées.
Sur le système d’exploitation lui-même, activer les mises à jour automatiques reste la méthode la plus fiable pour colmater les failles du système et des composants intégrés (navigateur, lecteur PDF, environnement Java ou .NET). Pour les logiciels tiers, certains intègrent leur propre mécanisme de mise à jour automatique. Quand ce n’est pas le cas, une vérification manuelle mensuelle suffit dans la plupart des situations.
Les bons réflexes pour télécharger et installer un logiciel en toute sécurité tiennent finalement en quelques gestes vérifiables : contrôler la source, inspecter le fichier, lire les écrans d’installation et maintenir le logiciel à jour. Ce sont des habitudes qui prennent quelques secondes chacune, mais qui évitent des heures de nettoyage après une infection.
