Le point technique public est déjà connu : un export Meta (HTML ou JSON) n’est pas signé, donc un fichier texte déjà téléchargé peut être altéré.Fabriquer ou modifier un document pour faire croire à des échanges qui n’ont pas eu lieu, c’est une falsification. S’en servir pour accuser quelqu’un, c’est viser une mise en cause mensongère.

Sur le fond de l’affaire Bardella / Mediapart, la question utile reste celle de la preuve : sans hash pris à la source et sans chaîne de custody opposable, un export ne se suffit pas à lui-même. Ce n’est pas une recette. D eplus l huissier n est intervenu que bien après le téléchargement

Un informaticien, Laurent Miltgen-Delinchamp (@kubernan), a expliqué avoir téléchargé son archive Meta (l’export RGPD « Télécharger vos informations », en HTML ou JSON dans un ZIP) puis l’avoir modifiée. En deux minutes, avec une IA, il a fait insérer une fausse conversation avec un « John Doe » inexistant. Le fichier régénéré gardait la même mise en page, les mêmes dates et horodatages que le reste de l’archive officielle. La conversation n’a jamais eu lieu.

Son point : ces exports sont du texte simple. Meta ne les signe pas, ne publie pas d’empreinte, ne scelle rien. Une fois le fichier sur le disque, n’importe qui peut changer un message, une date ou un nom sans trace technique évidente. Il dit l’avoir fait pour montrer qu’il ne faut aucune compétence particulière.

Dans le débat autour des archives citées par Mediapart, le même argument circule : l’huissier constate ce qu’on lui remet le jour du constat, pas que le fichier soit resté intact entre le téléchargement chez Meta et la remise, ni qu’il soit infalsifiable ensuite. La valeur probante repose sur la chaîne de custody, pas sur le format HTML/JSON lui-même.

Ce n’est pas une faille des serveurs Meta : c’est le fonctionnement normal d’un export de données personnelles non signé

Un export Meta (HTML ou JSON) est un fichier texte. Dès qu’il est sur un disque, on peut l’ouvrir, changer une phrase, une date, un nom, puis le réenregistrer. Rien dans le fichier ne dit « ceci n’a pas été touché depuis la sortie des serveurs ». Meta ne signe pas ces archives, ne joint pas de hash public, ne pose pas de scellé cryptographique.

La chaîne de custody, c’est le récit vérifiable du trajet du fichier : qui l’a demandé, quand, depuis quel compte, qui l’a reçu, qui l’a conservé, et si quelqu’un a pu s’intercaler. L’huissier constate l’état du fichier le jour où on le lui remet. Il ne reconstitue pas ce qui s’est passé entre le téléchargement et cette remise, sauf si une empreinte a été prise tout de suite et conservée de façon opposable.

Sans cette chaîne — hash pris à la source, constat immédiat, conservation scellée — un export Meta reste un document modifiable. Utile comme indice, faible comme preuve autonome.