Ce que dit le post
En étudiant le code JavaScript que des sites envoient à tout navigateur, j'ai trouvé un fichier contenant 34 variables d'environnement, dont des mots de passe et des identifiants OVH et Slack. Les outils de compilation le disent eux-mêmes : ce qui est injecté dans ce code est lisible par n'importe qui 1 2 3. Le droit permet d'étudier un logiciel qu'on a le droit d'utiliser 5, mais pas d'explorer un système ni d'utiliser des identifiants découverts 6 7 8.
Le site concerné n'est pas nommé, et aucune valeur n'a été utilisée, testée ni recopiée.
Pourquoi des secrets finissent dans le code public
Une application web moderne est « compilée » avant sa mise en ligne. Les outils qui font ce travail peuvent injecter des variables d'environnement directement dans le code envoyé au navigateur. Ils le font seulement pour les variables qui portent un préfixe dédié, ou quand la configuration leur demande de tout injecter. Leurs documentations préviennent toutes que ces valeurs deviennent publiques.
VITE_*variables should not contain sensitive information such as API keys. The values of these variables are bundled into your source code at build time.
— Documentation de Vite · Env Variables and Modes
Do not store any secrets (such as private API keys) in your React app! Environment variables are embedded into the build, meaning anyone can view them by inspecting your app's files.
— Documentation de Create React App · Adding Custom Environment Variables
Préfixée par
NEXT_PUBLIC_, une variable est remplacée par sa valeur dans le code JavaScript envoyé au navigateur : elle « sera intégrée dans tout le JavaScript transmis au navigateur ».
— Documentation de Next.js · How to use environment variables in Next.js
Your webhook URL contains a secret. Don't share it online, including via public version control repositories. Slack actively searches out and revokes leaked secrets.
— Documentation de Slack · Sending messages using incoming webhooks
Ce que dit le droit
La personne ayant le droit d'utiliser le logiciel peut sans l'autorisation de l'auteur observer, étudier ou tester le fonctionnement ou la sécurité de ce logiciel afin de déterminer les idées et principes qui sont à la base de n'importe quel élément du logiciel lorsqu'elle effectue toute opération de chargement, d'affichage, d'exécution, de transmission ou de stockage du logiciel qu'elle est en droit d'effectuer.
— Code de la propriété intellectuelle · Article L122-6-1, III (Légifrance)
Le fait d'accéder ou de se maintenir, frauduleusement, dans tout ou partie d'un système de traitement automatisé de données est puni de trois ans d'emprisonnement et de 100 000 € d'amende.
— Code pénal · Article 323-1, alinéa 1 (Légifrance)
Le fait d'introduire frauduleusement des données dans un système de traitement automatisé, d'extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu'il contient est puni de cinq ans d'emprisonnement et de 150 000 € d'amende.
— Code pénal · Article 323-3 (Légifrance)
Cour de cassation, chambre criminelle, 20 mai 2015, n° 14-81.336 (affaire « Bluetouff »)
Des données avaient été trouvées librement en ligne, via un moteur de recherche. La condamnation a pourtant été confirmée : la personne était restée dans le système après avoir compris qu'il était protégé, puis avait téléchargé les données. Trouver n'est pas fautif, se servir l'est.
Si l'on veut signaler
Déclarer une vulnérabilité à l'ANSSI
Un formulaire en ligne permet de signaler une faille. L'article L2321-4 du Code de la défense garantit la confidentialité de l'identité d'une personne de bonne foi qui signale à la seule ANSSI. Ce n'est pas une immunité pénale.
Secrets Management Cheat Sheet
Le guide de référence pour ne pas reproduire l'erreur : ne jamais laisser de secrets dans le code ou les fichiers de configuration, et révoquer immédiatement toute clé exposée.
Repères
- Le L122-6-1 III est une exception au droit d'auteur sur le logiciel. Elle couvre l'étude du code qu'un site envoie à tout visiteur, puisque chacun est en droit de le charger et de l'exécuter. L'accès à un système et l'usage d'identifiants relèvent, eux, des articles 323-1 et 323-3 du Code pénal : c'est la limite que pose le post.
- Le droit de tester « la sécurité » d'un logiciel figure dans le texte depuis la loi de programmation militaire du 18 décembre 2013. La version actuelle de l'article date de 2021.
Mises à jour
- 2 octobre 2026 : création de la page.