Trouver un petit utilitaire Windows prend parfois trente secondes. Vérifier que le fichier vient du bon projet demande un peu plus d’attention.
Les résultats sponsorisés, les sites de téléchargement, les clones de dépôt et les boutons publicitaires utilisent souvent le nom exact du logiciel recherché. Une belle page, un cadenas HTTPS et un fichier qui porte le bon nom ne prouvent ni l’origine ni l’intégrité.
Je ne cherche pas à transformer chaque téléchargement en enquête de police scientifique. Je veux une méthode proportionnée : retrouver l’éditeur, identifier la version, contrôler ce que Windows sait du fichier et ne jamais contourner un avertissement uniquement parce qu’un tutoriel l’exige.
La réponse courte
Avant d’exécuter un utilitaire Windows :
- partez du site ou du dépôt officiel de l’éditeur ;
- vérifiez le domaine et le chemin de téléchargement ;
- relevez la version et le nom exact du fichier ;
- examinez la signature numérique lorsqu’elle existe ;
- comparez le hash si l’éditeur en publie un ;
- laissez SmartScreen et l’antivirus faire leur travail ;
- n’accordez les droits administrateur que si la fonction le justifie ;
- abandonnez si l’origine reste ambiguë.
Une signature valide n’est pas un certificat de gentillesse. Un fichier non signé n’est pas automatiquement malveillant. Ces éléments deviennent utiles lorsqu’ils sont croisés avec la provenance, la réputation et le comportement attendu.
Commencer par le projet, pas par le bouton Télécharger
Je cherche d’abord qui développe l’outil.
- Le projet possède-t-il un site officiel clairement relié à son dépôt ?
- Le dépôt appartient-il à l’organisation annoncée ?
- La documentation et les versions racontent-elles la même histoire ?
- Le fichier est-il publié dans une section Releases officielle ?
- Le nom de l’éditeur est-il stable entre le site, le dépôt et la signature ?
Un miroir peut être pratique lorsqu’un projet le recommande explicitement. Un site qui republie seul l’installeur ajoute une étape que je ne contrôle pas.
Je me méfie particulièrement des pages dont le gros bouton coloré télécharge un « gestionnaire de téléchargement » alors que le lien officiel se trouve en petit dessous.
Le cadenas HTTPS ne suffit pas
HTTPS protège la connexion avec le domaine affiché. Il ne garantit pas que ce domaine appartient au véritable éditeur.
Je lis donc l’adresse complète :
- orthographe du domaine ;
- sous-domaine inattendu ;
- redirection vers un autre site ;
- extension de domaine différente ;
- nom du projet ajouté devant ou derrière une marque connue.
Je préfère suivre un lien depuis la documentation officielle plutôt que recopier l’adresse affichée dans une publicité. Si le projet publie ses versions sur GitHub, GitLab ou Microsoft Store, le site officiel doit normalement expliquer ce choix.
Identifier précisément la version
Avant le téléchargement, je note :
- le numéro de version ;
- la date de publication ;
- l’architecture : x64, x86 ou ARM64 ;
- le format : installateur, archive portable ou paquet Store ;
- les systèmes pris en charge ;
- les notes de version importantes.
Cette fiche évite d’installer un ancien binaire sur un système récent ou de comparer le hash d’une archive avec celui d’un installateur différent.
Pour un outil sensible — partitionnement, firmware, pilotes, récupération ou démarrage — je relis aussi la documentation de compatibilité. Le bon logiciel dans la mauvaise version peut être plus dangereux qu’un téléchargement bloqué.
Utiliser WinGet sans lui donner une confiance aveugle
Le Gestionnaire de paquets Windows peut rechercher, afficher et installer des applications depuis ses sources configurées.
Je commence par examiner le paquet :
winget search nom-du-logiciel
winget show --id Identifiant.Exact --exactLa seconde commande permet notamment de vérifier l’identifiant, l’éditeur, la version, la source et les informations de l’installateur avant l’installation.
WinGet facilite la distribution ; il ne dispense pas de confirmer que l’identifiant correspond au bon projet. Un nom générique peut produire plusieurs résultats. J’utilise donc --id et --exact lorsque l’identifiant a été vérifié.
Je n’ajoute pas une source inconnue pour gagner quelques secondes. Les commandes winget source list et winget source update permettent de voir les dépôts utilisés.
Comprendre un avertissement SmartScreen
Microsoft Defender SmartScreen évalue notamment la réputation du fichier et celle de l’éditeur. Selon la documentation Microsoft, un nouveau fichier peut être signalé comme non reconnu même s’il est signé, parce que sa réputation n’est pas encore établie.
Il faut distinguer :
- fichier connu comme dangereux : je n’exécute pas ;
- éditeur ou fichier non reconnu : j’arrête le réflexe et je vérifie l’origine ;
- éditeur identifié et réputation établie : c’est un signal favorable, pas une garantie absolue.
Le mauvais réflexe consiste à cliquer automatiquement sur « Informations complémentaires », puis « Exécuter quand même », parce qu’une vidéo montre ce chemin. Le bon réflexe est de revenir au site officiel, à la signature et à la version.
Lire la signature Authenticode
Une signature numérique valide permet de vérifier qu’un fichier signé n’a pas été modifié après la signature et d’identifier le certificat présenté par l’éditeur.
Dans l’Explorateur, les propriétés du fichier peuvent afficher un onglet Signatures numériques. En PowerShell, Windows fournit la commande officielle suivante :
Get-AuthenticodeSignature -LiteralPath "C:\Chemin\outil.exe" |
Format-List Status, StatusMessage, SignerCertificateLa documentation de Get-AuthenticodeSignature précise que la commande retourne aussi un objet lorsqu’un fichier n’est pas signé ; les informations de certificat sont alors absentes.
Je contrôle :
Status;- le nom du certificat ;
- la cohérence entre cet éditeur et le projet ;
- l’absence de modification du fichier après signature.
Une signature auto-signée ou absente ne prouve pas une infection. Elle retire simplement un élément de confiance. Pour un outil peu connu qui réclame les droits administrateur, cette absence doit augmenter le niveau de vérification.
Comparer un hash publié par l’éditeur
Un hash permet de vérifier que deux fichiers sont identiques octet par octet. Il devient utile uniquement si la valeur de référence vient d’une source indépendante et officielle.
Sous PowerShell :
Get-FileHash -LiteralPath "C:\Chemin\outil.exe" -Algorithm SHA256Je compare la valeur complète avec celle publiée par l’éditeur. Je vérifie aussi qu’elle concerne la même version, la même architecture et le même format.
Si le hash est affiché sur la même page compromise que le téléchargement, il peut être remplacé en même temps. La combinaison idéale est un fichier hébergé sur la plateforme officielle et une valeur annoncée dans les notes de version ou une documentation maîtrisée par le projet.
Examiner le besoin de privilèges administrateur
Un outil qui modifie le démarrage, les pilotes, les partitions ou les réglages système peut légitimement demander une élévation. Un visualiseur de texte ou un convertisseur portable n’en a généralement pas besoin pour lire un fichier utilisateur.
Lorsque Windows affiche la demande de contrôle de compte utilisateur, je lis :
- le nom du programme ;
- l’éditeur vérifié ou inconnu ;
- l’emplacement du fichier ;
- l’action que je viens réellement de demander.
Je refuse si la demande apparaît sans action correspondante, si le nom change ou si l’éditeur ne correspond pas à celui vérifié.
Je ne lance pas un navigateur ou un gestionnaire de téléchargement en administrateur pour éviter les confirmations. Cela élargit inutilement les droits de tout ce qu’il exécute.
Portable ne veut pas dire inoffensif
Une archive ZIP sans installateur peut modifier les fichiers, le registre, le réseau ou lancer d’autres processus dès que son exécutable démarre.
Le terme « portable » signifie surtout qu’une installation classique n’est pas nécessaire. Il ne remplace ni la provenance ni la signature.
Je décompresse l’archive dans un dossier identifié, je relis son contenu et je conserve la page de téléchargement. Je n’exécute pas directement un binaire depuis l’archive ou le dossier Téléchargements si je souhaite ensuite suivre ses fichiers.
Les faux signaux de confiance
Plusieurs éléments rassurent sans prouver grand-chose :
- « 100 % sûr » écrit par le site qui héberge le fichier ;
- une note d’utilisateurs sans lien vers le projet ;
- un logo Microsoft ou antivirus dans une image ;
- un cadenas HTTPS ;
- un nom de fichier très proche de l’original ;
- une signature dont l’éditeur ne correspond pas ;
- un scan ancien d’une autre version ;
- un tutoriel qui demande de désactiver toutes les protections.
Je ne désactive pas l’antivirus pour réussir un téléchargement. Si un projet sérieux documente un faux positif, je vérifie l’annonce depuis ses canaux officiels et je cherche une version corrigée ou signée.
Après l’exécution
Je vérifie que le résultat correspond à la fonction annoncée :
- pas d’extension de navigateur ajoutée ;
- pas d’application secondaire installée ;
- pas de lancement automatique inattendu ;
- pas de modification de la page d’accueil ou du moteur de recherche ;
- pas de demande d’identifiants sans rapport ;
- possibilité claire de désinstaller ou supprimer l’outil.
Pour un utilitaire que je compte conserver, je note sa provenance, sa version et sa méthode de mise à jour. Télécharger chaque nouvelle version depuis un résultat de recherche recrée le même risque à chaque fois.
La checklist BlackFury
| Contrôle | Résultat |
|---|---|
| Projet et éditeur identifiés | |
| Domaine ou dépôt officiel | |
| Version et architecture | |
| Notes de version lues | |
| Signature vérifiée | |
| Hash comparé si publié | |
| SmartScreen respecté | |
| Droits administrateur justifiés | |
| Options supplémentaires refusées | |
| Provenance conservée pour la mise à jour |
Le verdict BlackFury
La sécurité d’un téléchargement ne tient pas à un bouton vert. Elle repose sur une chaîne cohérente : projet, domaine, version, fichier, signature, réputation et comportement.
Le but n’est pas d’obtenir une certitude absolue. Il est d’éviter les erreurs faciles : cliquer sur une publicité, prendre un miroir pour l’éditeur, contourner SmartScreen par habitude ou donner les droits administrateur à un programme dont on n’a pas vérifié le nom.
Lorsque l’origine reste floue, la meilleure commande est encore celle que l’on n’exécute pas.
