Vous tapez un message, le mot vous échappe, une petite ligne rouge apparaît, vous corrigez, et vous passez à la suite sans y penser une seconde de plus. Ce geste, nous le répétons des centaines de fois par jour, persuadés qu’il ne concerne que nous, notre pouce et l’écran. Or, cette correction anodine peut voyager bien au-delà de la vitre de votre smartphone. Derrière la magie de la prédiction de texte se cache un mécanisme discret : certains claviers renvoient des fragments de ce que vous saisissez, ainsi que la manière dont vous le saisissez, vers des serveurs distants. Autrement dit, le mot que vous croyiez enfermé entre le clavier et l’écran a parfois déjà pris la route, direction le cloud. Regardons de près ce qui se joue vraiment sous vos doigts.

Ce que votre correcteur envoie vraiment quand vous tapez

Le clavier de votre téléphone n’est pas un simple pavé de touches. C’est une application à part entière, souvent nourrie à l’apprentissage automatique, qui apprend vos habitudes pour vous suggérer le bon mot au bon moment. Pour affiner ces prédictions, de nombreux claviers renvoient des échantillons de ce que vous tapez à l’entreprise qui les édite. Le système d’exploitation lui-même ne s’en cache pas : au moment où vous activez un clavier, il vous prévient qu’une fois sélectionné, celui-ci recevra chaque caractère tapé dans toutes les applications.

Le problème n’est pas nouveau. En 2017 déjà, on découvrait qu’un clavier tiers très populaire collectait l’historique complet de frappe de millions d’utilisateurs. Plus récemment, en 2024, une étude de sécurité relevait que plusieurs applications de clavier disponibles sur les grandes boutiques transmettaient des données de frappe non chiffrées vers des réseaux publicitaires. Le fameux mot corrigé n’était donc pas resté sagement entre vos doigts et votre écran.

Fragments de texte, rythme de frappe : la vraie nature des données collectées

Ce qui remonte vers les serveurs dépasse largement les quelques lettres que vous corrigez. Dans un cadre de recherche, un capteur de clavier peut enregistrer bien plus que le texte : les caractères tapés, l’horodatage de chaque frappe à la milliseconde près, le nom de l’application où la saisie a eu lieu, ainsi que le texte présent avant et après chaque événement. On comprend vite pourquoi le clavier est un point d’accès aussi sensible : peu d’applications voient passer un tel éventail d’informations. Vos messages, vos recherches, ce que vous tapez dans une application bancaire ou même dans un jeu vidéo transitent tous par ce même point de passage.

Plus troublant encore, ces métadonnées sont hautement identifiantes. La dynamique de frappe, c’est-à-dire votre façon bien à vous d’enchaîner les touches, sert déjà à distinguer les utilisateurs et à repérer d’éventuels imposteurs. Votre rythme est aussi personnel qu’une signature. Des travaux préliminaires suggèrent même que les variations entre deux sessions de saisie pourraient être associées à vos émotions du moment. En clair, la manière dont vous pianotez pourrait en dire long sur votre état d’esprit.

Prédiction dans le cloud contre traitement local : le vrai point de bascule

Tout se joue sur une question simple : où votre clavier réfléchit-il ? Lorsque la prédiction est traitée localement, sur votre appareil, vos frappes ne quittent pas le téléphone. Mais dès que l’analyse s’effectue dans le cloud, des fragments de saisie et des métadonnées voyagent vers des serveurs extérieurs. C’est précisément ce basculement, l’envoi de fragments de texte et de rythmes de frappe lors de la prédiction, qui explique pourquoi un mot corrigé peut aller si loin.

Certains éditeurs affirment atténuer le risque grâce à ce qu’on appelle la confidentialité différentielle. L’idée consiste à ajouter un bruit statistique aux données renvoyées, un peu comme brouiller légèrement une photo pour rendre les visages moins reconnaissables. Ce procédé est censé compliquer votre identification à partir des extraits transmis. La démarche est intéressante, mais elle repose sur la confiance accordée à l’éditeur et sur des réglages que peu d’utilisateurs prennent le temps de vérifier.

Reprendre la main sur ce qui quitte votre clavier

Bonne nouvelle : vous n’êtes pas condamné à subir. Quelques réflexes simples permettent de limiter ce qui s’échappe. Commencez par vérifier quel clavier vous utilisez et fouillez dans ses réglages : la collecte à des fins de personnalisation ou d’amélioration peut souvent être désactivée. Privilégiez, quand c’est possible, un clavier qui traite la prédiction directement sur l’appareil plutôt que dans le cloud.

Il existe par ailleurs une protection native trop peu connue. Les identifiants constituent la seule exception à ce que voit le clavier. En passant par un gestionnaire de mots de passe, le champ de connexion se remplit sans que vos données transitent par le clavier, grâce aux dispositifs prévus par les systèmes : Autofill et Credential Manager sur Android, AutoFill sur iOS. Voilà un moyen concret de garder vos mots de passe à l’abri de ce point de passage sensible.

Au fond, ce petit trait rouge sous un mot mal orthographié nous rappelle une vérité de notre époque : les outils les plus banals sont souvent les plus bavards. Entre prédiction dans le cloud, rythmes de frappe personnels et fragments de texte qui voyagent, le clavier mérite bien plus d’attention qu’on ne lui en accorde. Alors, la prochaine fois que vous corrigerez un mot, vous poserez peut-être la vraie question : jusqu’où ai-je envie que mes doigts en disent sur moi ?