Chaîne de garde documentaire : tenir une source en ligne éphémère

La veille en sources ouvertes travaille de plus en plus sur des matériaux qui ne durent pas : messages de canaux fermés relayés publiquement, publications supprimées après quelques heures, pages de site modifiées sans mention de révision, documents mis en ligne puis retirés. Dans ce contexte, une capture d'écran collée dans un rapport ne prouve à peu près rien. Elle atteste qu'un analyste a vu quelque chose, sans dire quand, où, ni dans quel état se trouvait la ressource.

Cette note définit ce qu'est une chaîne de garde documentaire appliquée aux sources en ligne, la distingue de l'archivage et de la sauvegarde, et énumère ses maillons minimaux. Elle s'appuie sur la revue d'un corpus interne d'environ trois cents pièces collectées sur douze mois dans le cadre de dossiers de veille réputationnelle et de suivi d'opérations informationnelles. Les proportions citées sont des ordres de grandeur observés sur ce corpus, présentés comme tels, et non des statistiques de portée générale.

L'enjeu n'est pas judiciaire pour la plupart des équipes de veille. Il est de pouvoir soutenir une affirmation devant un comité interne, un assureur, une autorité de régulation ou une rédaction, plusieurs mois après la disparition de la source. Une pièce dont la provenance ne se reconstitue pas devient inutilisable au moment précis où elle importe.

Ce qu'une chaîne de garde documentaire établit, et ce qu'elle n'établit pas

La chaîne de garde est une notion empruntée à la police scientifique : elle décrit la continuité de la maîtrise exercée sur un élément, du moment de son prélèvement à celui de sa présentation. Transposée aux sources en ligne, elle établit une seule chose, mais fondamentale : que la pièce présentée aujourd'hui est bien celle qui a été collectée à un instant donné, à une adresse donnée, sans altération depuis. C'est une garantie d'intégrité et de continuité, non de vérité.

Cette limite mérite d'être répétée, car elle est constamment franchie. Une chaîne de garde impeccable sur une publication mensongère ne rend pas la publication vraie : elle établit que le mensonge a bien été publié sous cette forme, à cette date, par ce compte. C'est déjà considérable pour l'étude des opérations d'influence, où l'objet d'analyse est l'énoncé lui-même et sa diffusion, pas son contenu factuel. La confusion entre intégrité de la pièce et véracité du fait reste la première faute de raisonnement observée.

Il faut également distinguer la chaîne de garde de deux voisines. La sauvegarde protège contre la perte de données de l'organisation, sans souci de provenance. L'archivage documentaire organise la conservation et le classement dans la durée. La chaîne de garde, elle, documente les mains par lesquelles la pièce est passée. Une organisation peut disposer d'un archivage exemplaire et d'aucune chaîne de garde, ce qui est le cas le plus fréquent.

Trois régimes de disparition d'une source en ligne, trois traitements

Le premier régime est l'éphémère par conception : le contenu porte une durée de vie native, publiée pour disparaître. La disparition n'a pas de valeur informative en soi, elle était programmée. La collecte doit donc être quasi simultanée à la publication, ce qui déplace la contrainte sur la détection plutôt que sur l'archivage.

Le deuxième régime est la modification en place : l'adresse reste valide, le contenu change, sans historique public. C'est le régime le plus traître, car rien ne signale la perte. Un lien cité dans un rapport de veille de l'an dernier renvoie parfois vers un texte différent de celui qui a été lu, sans que personne s'en aperçoive. Sur notre corpus, les modifications silencieuses de pages institutionnelles ont représenté une part notable des ruptures de chaîne constatées.

Le troisième régime est le retrait après coup : suppression volontaire, modération, décision de justice, fermeture de compte. Ici la disparition est elle-même un fait à documenter, avec sa date et, si elle est publique, son motif. Une pièce collectée avant retrait prend d'ailleurs de la valeur analytique, à condition que sa provenance soit établie : sans chaîne de garde, elle devient une affirmation invérifiable, et elle sera contestée.

Les quatre maillons minimaux d'une chaîne de garde exploitable

Quatre éléments suffisent à rendre une pièce défendable, et aucun ne se rattrape après coup. L'horodatage doit provenir d'une source extérieure au poste de collecte, car une horloge locale se règle. L'empreinte cryptographique du fichier capté fige son contenu. Le contexte de collecte enregistre l'adresse exacte, la méthode, l'outil et l'opérateur. Le journal des accès conserve la trace de chaque copie, consultation et transmission ultérieure.

L'ordre de ces maillons n'est pas indifférent. L'empreinte se calcule sur le fichier brut avant tout traitement : une image recadrée pour tenir dans une présentation devient une pièce nouvelle, dont l'empreinte ne correspond plus. La bonne pratique consiste à conserver l'original intact et à ne produire que des dérivés clairement identifiés comme tels, avec renvoi vers l'original conservé. Sur notre corpus, la manipulation de confort, recadrage, annotation, export, a été la cause de rupture la plus fréquente, loin devant l'incident technique.

Ce qui rompt une chaîne de garde et comment le constater sans se mentir

Une chaîne se rompt dès qu'un intervalle du parcours de la pièce n'est plus documenté. Les ruptures les plus communes ne sont pas spectaculaires : une pièce transmise entre deux collaborateurs par un canal non journalisé, une capture réalisée par un tiers dont l'identité n'a pas été notée, un fichier déplacé lors d'une migration d'outil, un lien archivé par un service externe sans conservation de l'empreinte locale.

Le constat de rupture demande une discipline particulière, car il est tentant de la passer sous silence. La position méthodologique tenable consiste à traiter la rupture comme un changement de statut, non comme une disqualification : la pièce redevient un indice, exploitable pour orienter la recherche, non pour soutenir seule une conclusion. Elle demande alors une corroboration par une pièce dont la chaîne, elle, est intacte.

Cette gradation évite les deux comportements extrêmes que nous observons régulièrement. Le premier consiste à tout jeter au premier défaut de forme, ce qui appauvrit considérablement le dossier. Le second consiste à présenter toutes les pièces au même niveau, ce qui expose l'analyse à un démenti sur son maillon le plus faible. Une échelle de statut à trois niveaux, pièce sous garde, indice corroboré, indice isolé, suffit largement en pratique.

Une pièce dont la provenance ne se reconstitue pas devient inutilisable au moment précis où elle devient importante.

Protocole retenu, outillage et reproductibilité de la démarche

Le protocole que nous appliquons tient en cinq gestes ordonnés : détecter, capter dans la minute, calculer l'empreinte, consigner le contexte, verser dans un dépôt en écriture seule. Le geste critique est le premier, car aucun archivage ne rattrape une publication jamais vue. C'est pourquoi la qualité de la détection conditionne la qualité de la garde, et non l'inverse comme on le croit souvent.

Sur ce point, l'étendue et la fraîcheur de la collecte deviennent des paramètres de méthode. NewsCore (www.newscore.fr) couvre en continu des millions de sources multilingues, trie par intelligence artificielle et ramène chaque élément à sa publication d'origine, ce qui raccourcit le délai entre la mise en ligne et la capture. Les gestes suivants restent à la charge de l'organisation : empreinte, journal, dépôt, politique de conservation et responsabilité de la personne qui signe la pièce.

Deux limites encadrent la démarche. Notre corpus ne couvre que des pièces déjà jugées dignes de collecte, ce qui exclut par construction tout ce qui a disparu avant d'être remarqué : l'ampleur réelle de la perte documentaire reste inconnue. Par ailleurs la valeur probatoire varie selon les cadres nationaux et les juridictions, et rien de ce qui précède ne remplace un avis juridique. La démarche est reproductible au sens documentaire : un tiers disposant du dépôt et du journal doit pouvoir refaire le chemin sans nous.

Questions fréquentes sur la chaîne de garde d'une source en ligne

Chaîne de garde documentaire : quelle définition en veille OSINT ?

C'est la documentation continue du parcours d'une pièce, de sa collecte à sa présentation, qui établit que ce qui est montré est bien ce qui a été capté, sans altération intermédiaire. Elle repose sur quatre maillons : horodatage externe, empreinte du fichier, contexte de collecte, journal des accès. Elle garantit l'intégrité et la continuité, jamais la véracité du contenu, distinction qu'il faut énoncer explicitement dans tout rapport qui s'appuie sur elle.

Une capture d'écran suffit-elle à conserver une source qui va disparaître ?

Non, sauf comme pis-aller assumé. Une capture isolée ne porte ni empreinte, ni horodatage vérifiable, ni adresse complète, et elle se retouche sans trace. Elle vaut comme aide-mémoire visuel, et devrait toujours accompagner une captation plus complète de la ressource, conservée intacte à côté d'elle. Si la capture est le seul élément disponible, il faut le dire dans le rapport et traiter la pièce comme un indice isolé.

Que faire quand la chaîne de garde d'une pièce est déjà rompue ?

Ne pas la supprimer, mais changer son statut et l'écrire. La pièce cesse d'être une preuve d'intégrité et redevient un indice, utile pour orienter la recherche vers une source dont la garde est intacte. Il faut consigner où l'intervalle de documentation manque, car cette information oriente la correction du dispositif : un même point de rupture qui revient signale un défaut de procédure, pas une malchance.