En bref
- Cloudflare a obtenu la certification sud-coréenne ISMS après dix jours d'audit portant sur 80 contrôles de sécurité et de protection des données.
- Les utilisateurs concernés doivent désormais valider séparément trois consentements obligatoires, tandis qu'un quatrième choix reste réservé aux communications commerciales.
- Cloudflare a supprimé en Corée du Sud l'inscription par Google, Apple ou GitHub, car ces parcours contournaient son propre formulaire de consentement.
- La couverture du certificat dépend d'une frontière de service certifiée, et non d'une liste publique où chaque produit serait nommé.
Une certification qui devient visible à l'inscription
Cloudflare a obtenu en Corée du Sud la certification Information Security Management System, ou ISMS, un système local d'évaluation de la sécurité. Pendant dix jours, des auditeurs désignés ont examiné 80 contrôles avec l'entreprise. Pour les clients coréens, le résultat apporte un repère local aux équipes chargées du droit, de la sécurité et des achats. Il ne repose pas seulement sur l'existence de règles internes. L'examen porte aussi sur leur fonctionnement dans le cadre juridique et linguistique coréen.
L'observation la plus concrète concerne la page de création d'un compte. Ailleurs, Cloudflare regroupe l'acceptation de ses conditions, de sa politique de confidentialité et de sa politique relative aux cookies. En Corée du Sud, le formulaire sépare quatre décisions et relie chacune au texte complet correspondant. Trois sont obligatoires pour ouvrir un compte. La quatrième autorise seulement les communications commerciales et peut rester décochée sans bloquer l'inscription.
Trois accords obligatoires, aucune voie de contournement
Les trois choix imposés couvrent les conditions du service, la collecte et l'utilisation des données personnelles, puis leur transfert limité à l'étranger. Le bouton d'inscription reste inactif tant que l'utilisateur ne les a pas tous validés. Le quatrième choix concerne le partage limité de données avec des partenaires commerciaux. Refuser ce dernier choix retire seulement l'autorisation d'envoyer des messages promotionnels. Cloudflare conserve aussi une commande permettant de tout accepter en une fois.
Cette présentation posait un problème avec les inscriptions utilisant Google, Apple ou GitHub. Ces services jouent alors le rôle de fournisseur d'identité, c'est-à-dire qu'ils authentifient la personne à la place de Cloudflare. Leur parcours ne montre jamais le formulaire où figurent les quatre décisions. Cloudflare ne pouvait pas modifier leurs écrans pour recueillir chaque accord. L'entreprise a donc retiré ces modes d'inscription en Corée du Sud, plutôt que de construire une étape supplémentaire après l'authentification.
La localisation propose un choix par défaut
Cloudflare choisit d'abord le formulaire selon le pays associé à l'adresse IP, l'identifiant réseau utilisé pour acheminer une connexion. Son réseau transforme cette estimation en un code de pays composé de deux lettres. Une simple comparaison avec le code coréen suffit alors à afficher la version locale et à désactiver l'inscription sociale. Le pays sélectionné par la personne pendant l'inscription peut toutefois remplacer cette décision initiale. Cette combinaison sépare la provenance technique d'une requête du lieu de résidence déclaré.
Cette méthode répond à une limite explicitement reconnue par Cloudflare. La localisation d'une adresse IP reste une estimation, car les adresses changent et peuvent passer d'un propriétaire à un autre. Un voyage, un réseau privé virtuel, ou VPN, peut aussi masquer le pays réel. Il en va de même pour la traduction d'adresses réseau, ou NAT, employée par certains opérateurs mobiles. L'adresse propose donc l'interface par défaut, mais la déclaration de l'utilisateur détermine finalement le parcours.
Un audit centré sur les flux réels de données
La méthode d'audit a commencé par les déplacements des données personnelles dans les systèmes de Cloudflare. L'entreprise a fourni des schémas détaillant chaque chemin par lequel ses employés pouvaient accéder aux informations collectées, traitées et conservées. Les auditeurs ont refusé de se contenter d'une description narrative. Ils ont examiné chaque couche de contrôle des accès et vérifié son efficacité. Le travail couvrait les outils internes, les sites publics, les pages d'événements et le tableau de bord destiné aux clients.
L'examen suivait les données depuis le premier contact avec un utilisateur jusqu'à leur destruction. Il vérifiait aussi les mots employés pour demander le consentement, la séparation des choix et la clarté des notifications. Les schémas ne sont pas publiés, car Cloudflare les considère comme confidentiels. Cette absence empêche le public d'évaluer directement les flux présentés aux auditeurs. La publication décrit donc la méthode et certains changements visibles, mais pas l'ensemble des preuves techniques examinées.
Une assurance locale dont la portée suit le service
L'ISMS couvre notamment les politiques de sécurité, les accès, l'authentification, le chiffrement, la gestion des risques, les incidents et la reprise après sinistre. L'audit est réalisé par un professionnel désigné par la Korea Internet and Security Agency, l'organisme public coréen chargé de cette certification. Un comité spécial examine ensuite le dossier. Le certificat reste valable trois ans, sous réserve d'un audit annuel. La préparation de Cloudflare a duré un an et demi, car elle a traversé deux périodes annuelles d'audit.
La portée du certificat demande enfin une lecture différente de certaines certifications internationales. Elle ne fournit pas une liste de produits couverts. Elle décrit une frontière comprenant les entités, les équipes, les processus, l'infrastructure et les flux de données soumis aux contrôles. Selon Cloudflare, un produit entre dans cette portée s'il utilise la plateforme, les équipes et le système certifiés. Cette interprétation aide les examens de fournisseurs, mais elle oblige à vérifier le chemin de livraison du service plutôt qu'un nom dans une liste.
Ce qui reste à confirmer
Le récit et l'interprétation de la portée proviennent de Cloudflare. Les schémas de flux restent confidentiels, le certificat ne nomme aucun produit et la géolocalisation par adresse IP demeure approximative. La source indique un registre public de la KISA comme confirmation indépendante, sans en reproduire ici le contenu.