FR 3155331 A1 20250516 FR 2312526 A 20231115 Procédé de gestion de la navigation sur Internet d’un terminal L’invention se rapporte à un procédé de gestion de la navigation sur Internet d’un terminal, mis en œuvre par une entité de gestion (100), caractérisé en ce qu’il comprend les étapes suivantes : Obtention de métriques (FTR) d’un site Internet, dit site cible (S1, S2, S3), vers lequel un accès est demandé par le terminal (DVC) ; Analyse des dites métriques (FTR) par un modèle prédictif (MDL) fournissant une donnée (SCR) représentative d’un score de confiance relatif au site cible (S1, S2, S3) ; Action (ACT) relative à la navigation sur Internet du terminal (DVC) en fonction de la donnée (SCR) représentative fournie par le modèle prédictif (MDL). Figure 1 Procédé de gestion de la navigation sur Internet d’un terminal Le domaine technique est celui de la navigation sur Internet. Plus précisément, l’invention se rapporte à un procédé de sécurisation de la navigation sur Internet d’un terminal. Le terminal en question peut être tout terminal emmené à naviguer sur Internet par l’intermédiaire d’un navigateur Internet (traduction de l’anglais browser ). On peut mentionner comme terminal possible pour naviguer sur Internet les ordinateurs, portables ou fixes, mais aussi les ordiphones (traduction de l’anglais smartphone ) ou bien des terminaux plus grands, tels que des tablettes tactiles ou des phablettes (traduction de l’anglais phablet ) ou des terminaux plus petits, tels que des montres connectées ou tout autre objet connecté. Le terminal peut également être l’ordinateur de bord d’un véhicule, par exemple une automobile connectée. Le terminal peut également être une console de jeux, connectée à Internet par l’intermédiaire d’un réseau domestique, ou bien un système de divertissement à bord (traduction de l’anglais in-flight entertainment system ) proposé aux passagers d’un véhicule tel qu’un avion, un bateau, un train, un autocar, un taxi ou une voiture particulière. Une des attaques les plus fréquentes dans le domaine de la navigation sur Internet consiste dans l’hameçonnage (traduction de l’anglais phishing ) des utilisateurs par le site Web d’un attaquant qui imite un site Web légitime. Dans cette attaque, un utilisateur va être emmené par tout moyen, par exemple un courrier électronique contenant un lien, à se connecter sur un site Web, dit site attaquant. Le courrier électronique va par exemple contenir un message indiquant que le lecteur doit régler une facture, ou bien a gagné un cadeau, ou toute autre information alléchante, ce qui va emmener l’utilisateur à cliquer sur le lien contenu dans le message électronique, ce qui déclenche la navigation de son navigateur Internet vers le lien contenu dans le message électronique. Le site attaquant, sur lequel l’utilisateur est incité à naviguer, imite le site Web d’un organisme légitime, par exemple le site Web d’une banque, d’un opérateur de télécommunications, un site commerçant ou tout autre site possible. On peut également parler d’un site de confiance, pour le site d’un tel organisme légitime. Une fois sur le site attaquant, alors qu’il croit naviguer sur un site Web de confiance, l’utilisateur va fournir des informations, par exemple un numéro de carte bancaire, en croyant les fournir à l’organisme légitime, dont le site attaquant imite le site Web. Les informations ainsi fournies pourront ensuite être utilisées directement par l’attaquant, par exemple pour réaliser des transactions bancaires ou des usurpations d’identité, ou bien seront marchandées sur des marchés clandestins où ce type de données sont négociées. Les attaques par hameçonnage peuvent également servir à faire croire à un télétravailleur qu’il se connecte sur le site de son entreprise à distance. Le télétravailleur fournira alors ses données d’identification au site qui usurpe l’identité du site de son employeur. L’attaquant pourra alors utiliser ses données d’identité pour se connecter sur le site légitime de l’entreprise en usurpant l’identité du télétravailleur afin de réaliser d’autres attaques en ayant accès directement au système d’information de l’entreprise. Etat de la technique L’attaque décrite ci-dessus a vu se développer plusieurs formes de parade. La première parade consiste à détecter les messages d’hameçonnage. Ces messages, qui incitent l’utilisateur à se connecter sur le site attaquant, peuvent être des courriers électroniques, ou bien des messages SMS (acronyme de l’anglais Short Messages Service ) reçus par des téléphones mobiles, ou bien des messages de services de messagerie électronique tels que Messenger, WhatsApp, Telegram ou tout autre service. Des outils de détection présents dans les serveurs faisant transiter les messages entre terminaux, ou bien présents dans les terminaux eux-mêmes, vont alors s’attacher à détecter les messages d’hameçonnage. Ces messages seront alors, ou bien directement effacés, ou bien transmis à leurs récepteurs avec des avertissements très visibles incitant l’utilisateur à se méfier et à ne pas suivre les liens de navigation Internet présents, sauf s’il est sûr de la légitimité du message. De tels systèmes de détection de messages d’hameçonnage sont bien établis, mais ne présentent pas une efficacité totale. Des messages d’hameçonnage peuvent ne pas être détectés, ou bien les utilisateurs peuvent ignorer les avertissements, ou bien les utilisateurs peuvent naviguer sur des sites attaquants, qui usurpent l’identité de sites légitimes, sans avoir été attirés sur le site attaquant par un message d’hameçonnage. Il existe donc un besoin de sécurisation de la navigation sur Internet, pour éviter à un utilisateur de naviguer sur un site qui usurpe l’identité d’un site légitime, et cela indépendamment des mesures de protection qui visent à réduire les messages d’hameçonnage. Les mesures existantes de sécurisation de la navigation s’appuient en général sur le traitement des adresses URL (acronyme de l’anglais Uniform Resource Locator ) utilisées pour la navigation sur Internet. Un attaquant qui construit un site Web usurpant un site légitime va commencer par obtenir une adresse Internet suffisamment proche de celle du site légitime pour duper les utilisateurs. Par exemple, la Sécurité sociale française utilise le nom de domaine ameli.fr pour son site Internet. Un attaquant cherchera à obtenir le droit d’utiliser l’adresse amelii.fr pour construire son site Web imitant le site légitime, puis d’attirer des utilisateurs vers ce site par des messages d’hameçonnage. Une autre technique d’attaque va consister à enregistrer des noms de domaine qui contiennent le nom usurpé en l’entourant d’autres mots clés significatifs. Par exemple, toujours pour la Sécurité sociale française, le domaine paiements-ameli.info peut être créé par des attaquants. Quel que soit le nom de domaine retenu par l’attaquant, une mesure de sécurisation de la navigation consiste alors en l’utilisation, par les navigateurs Internet, de listes d’adresses suspectes. Des serveurs centralisés analysent des sites Web suspects, par exemple en repérant les sites pointés par des messages d’hameçonnage et établissent ainsi des listes de sites suspects. Les analyses effectuées par ces serveurs peuvent utiliser plusieurs techniques, dont des techniques d’apprentissage automatique (de l’anglais machine learning ). Ces listes peuvent être distribuées aux navigateurs, permettant ainsi aux navigateurs de bloquer leur utilisateur quand il cherche à aller sur un site suspect, ou bien à l’avertir, selon la politique du navigateur et du type de listes établies par le serveur. Les serveurs d’analyse peuvent aussi répondre à une demande d’un navigateur, qui soumet une adresse d’un site Web à un serveur, qui pourra lui indiquer si l’adresse en question appartient à une liste déjà établie, ou bien qui lancera une analyse dédiée du site Web correspondant à l’adresse soumise par le navigateur. Les mesures de sécurisation s’appuyant sur des listes d’adresses suspectes présentent plusieurs défauts. Tout d’abord, elles ne sont pas assez réactives. Quand un attaquant prépare un site Web usurpant un site légitime, il ne va se passer que quelques heures entre la réservation du nom de domaine pour avoir une adresse du site attaquant, le déploiement du site attaquant, et l’envoi des messages d’hameçonnage. Durant ce délai très court, il est probable que les serveurs d’analyse qui, a priori, cherchent à analyser l’ensemble des sites Internet existants, n’auront pas commencé leur navigation sur le nouveau domaine réservé par l’attaquant puis l’analyse du site usurpant le site légitime. Un serveur qui cherche à analyser des sites suspects puis à distribuer aux navigateurs des listes d’adresses à bloquer risque donc d’être pris de vitesse par les attaquants. La rapidité peut être améliorée si les navigateurs soumettent eux-mêmes les adresses à analyser à des serveurs. Mais cela implique que les serveurs sont informés des adresses Internet vers lesquelles le navigateur souhaite se rendre. Ceci pose un problème de confidentialité : en effet, l’utilisateur du navigateur Internet peut ne pas souhaiter confier à un serveur tiers l’adresse Internet vers laquelle il souhaite naviguer, même en échange d’une information sur la sécurité de cette adresse. De plus, quand l’analyse est effectuée par un serveur, celui-ci devra interagir avec le site analysé. Les attaquants qui mettent en place un site usurpant un site légitime peuvent apprendre à reconnaître les serveurs d’analyse. Quand un site usurpant un site légitime détecte qu’un serveur d’analyse, connu des attaquants, commence à l’analyser, le site usurpant peut mettre en place des contre-mesures qui vont compliquer le travail d’analyse du serveur, par exemple en bloquant ses requêtes, ou en les retardant, ou bien en présentant au serveur une version inoffensive et non pas la version dédiée aux navigateurs standard. Enfin, des attaquants peuvent mettre en place un site d’apparence bénigne lorsqu’ils achètent un nom de domaine. Les serveurs d’analyse qui vont analyser ce site seront alors leurrés. C’est au moment où les attaquants lancent leur campagne d’hameçonnage, par l’envoi de messages en grande quantité, qu’ils vont remplacer le site d’apparence bénigne par le vrai site attaquant. La possibilité de détecter l’attaque par des serveurs d’analyse est ainsi retardée au maximum par les attaquants. L’invention vient améliorer la situation. Selon un aspect fonctionnel, l’invention a trait à un procédé de gestion de la navigation sur Internet d’un terminal, mis en œuvre par une entité de gestion, caractérisé en ce qu’il comprend les étapes suivantes : Obtention de métriques d’un site Internet, dit site cible, vers lequel un accès est demandé par le terminal ; Analyse des dites métriques par un modèle prédictif fournissant une donnée représentative d’un score de confiance relatif au site cible ; Action relative à la navigation sur Internet du terminal en fonction de la donnée représentative fournie par le modèle prédictif. Le terme « métriques » utilisé ici peut être traduit en anglais par le terme features . Grâce à l’invention, l’utilisateur d’un terminal comprenant un navigateur Internet dispose d’une protection contre des sites Internet dangereux durant sa navigation Internet. Cette protection est obtenue sans qu’un serveur centralisé n’ait à distribuer des listes d’adresses de sites suspects, listes qui sont ensuite sauvegardées par les navigateurs Internet des terminaux, et utilisées par exemple pour bloquer la navigation de l’utilisateur. Selon l’invention, des métriques sont obtenues d’un site Internet puis analysées par un modèle prédictif. Ce modèle est issu d’un apprentissage automatique (traduction de l’anglais machine learning ). Par exemple, il peut s’agir d’un réseau de neurones artificiels. Un tel modèle a été appris à partir de métriques de sites Internet. Les mêmes métriques sont obtenues à partir d’un site, dit site cible, vers lequel un accès est demandé, c’est-à-dire vers lequel un utilisateur souhaite se rendre ce qui se traduit par une requête du terminal de l’utilisateur vers ce site Internet. Comme le modèle de prédiction a été entraîné à partir des mêmes métriques, il pourra rendre immédiatement un score pertinent sur la dangerosité du site vers lequel l’utilisateur souhaite naviguer dès que les métriques obtenues lui sont fournies. La protection de l’utilisateur du terminal est ainsi assurée. Comme le modèle a déjà appris les caractéristiques des sites Web dangereux, et que l’obtention des métriques est suffisamment rapide, notre invention présente la réactivité nécessaire aux attaques d’usurpation de sites Web si on la compare aux solutions fondées sur la maintenance et la mise à jour d’adresses de sites Web. Grâce à notre invention, l’interaction avec le site Web qui peut être un site attaquant se fait au niveau du navigateur Internet du terminal. Celui-ci obtient les métriques du site Internet en regardant ses caractéristiques et en réalisant des calculs à partir de celles-ci. De cette manière, il n’y a pas une interaction directe entre un serveur d’analyse et un site potentiellement dangereux. Le site dangereux ne peut donc ainsi pas détecter qu’il interagit avec un serveur d’analyse et il ne va donc pas mettre en place des mesures de camouflage. De plus, l’analyse est effectuée au moment précis où l’accès est demandé vers le site cible par le terminal, et non pas lorsqu’un serveur d’analyse, qui parcourt Internet, le demande. L’analyse est donc effectuée au moment où l’utilisateur a pu être emmené à demander un accès vers le site attaquant par une campagne d’hameçonnage. Dans le cas où les attaquants utilisent un site d’apparence bénigne pour leurrer les serveurs d’analyse, notre invention résiste bien à cette parade des attaquants. En effet, le site qui est analysé dans notre invention est bien celui accédé par le terminal de l’utilisateur, et qui est donc potentiellement dangereux, et non pas un site bénin utilisé pour leurrer des serveurs d’analyse avant le déclenchement de l’attaque. Selon un premier mode de mise en œuvre particulier de l’invention, l’analyse par le modèle prédictif est au moins en partie déportée sur un dispositif externe au terminal. Selon un autre mode de mise en œuvre de l’invention, qui pourra être mis en œuvre alternativement ou cumulativement avec le précédent mode, l’entité de gestion est comprise dans un navigateur Internet exécuté par le terminal. Grâce à ces modes de réalisation, les performances de notre invention sont améliorées. En effet, un modèle prédictif tel qu’utilisé dans notre invention ne peut pas être maintenu dans un navigateur Internet au vu de sa taille, et aussi de la fréquence nécessaire de sa mise à jour. Le modèle est donc hébergé dans un serveur distant auquel l’entité de gestion, qui pourra, elle, être présente dans le navigateur Internet, va soumettre des métriques de sites Internet. Dans une telle architecture, où un serveur distant analyse des sites Internet pour répondre aux questions issues de navigateurs Internet sur l’innocuité ou la dangerosité de sites Internet, un problème est celui de respecter la confidentialité de la navigation Internet des utilisateurs. En effet, le serveur auquel des analyses sont demandées peut se voir soumettre des adresses de sites sur lequel les utilisateurs souhaitent naviguer, et de telles soumissions peuvent être interceptées par des attaquants, ou bien le serveur distant peut être piraté. Notre solution utilise bien un serveur distant qui va analyser à la demande un site Web donné pour déterminer s’il est dangereux ou non. Mais notre invention permet d’obtenir ce résultat sans que l’utilisateur n’ait à fournir les adresses des sites sur lesquels il navigue. Seules les métriques du site Internet cible sont soumises au serveur disant, et non pas l’adresse du site cible lui-même. La confidentialité de la navigation de l’utilisateur est donc bien respectée. Un autre avantage de cette répartition des analyses entre une entité de gestion comprise dans un navigateur Internet du terminal et un modèle prédictif hébergé dans un serveur est d’éviter une interaction directe entre un serveur d’analyse et des sites dangereux. On a vu que les gestionnaires de sites dangereux peuvent repérer que des serveurs d’analyse effectuent des requêtes répétées sur des sites en vue de les analyser. Dans ce cas, les sites dangereux sont camouflés pour éviter d’être repérés. Dans l’architecture proposée dans ce mode de réalisation, le serveur n’interagit pas directement avec le site cible. C’est un navigateur Internet standard qui obtient les métriques du site cible par une interaction qui ne peut pas être distinguée de l’interaction d’un navigateur sans capacités d’analyse. Une fois les métriques obtenues, celles-ci sont soumises au modèle prédictif hébergées dans un serveur. Celui-ci n’a donc pas à interagir directement avec le site cible qui peut être un site dangereux. L’architecture de ce mode de réalisation combine donc les avantages d’une centralisation pour le modèle prédictif, ce qui permet de disposer d’un modèle volumineux, prenant en compte un très grand nombre de métriques, qui peut être mis à jour facilement et d’une décentralisation de l’obtention des métriques des sites cibles, qui est faite au niveau des navigateurs Internet, au cours de la navigation standard des utilisateurs, ce qui permet d’éviter d’éveiller les soupçons des gestionnaires de sites dangereux et ce qui raccourcit les délais de calcul et d’obtention des métriques. L’entité de gestion sera la plupart du temps comprise dans un navigateur Internet présent dans le terminal. Ce sera par exemple un module qui utilisera un mécanisme d’extension prévu par la grande majorité des navigateurs Internet disponibles, tels que Firefox et Chrome. Mais il est possible d’imaginer une architecture dans laquelle l’entité de gestion est un programme à part, hébergé dans le terminal, et qui interagit avec le navigateur Internet du terminal afin de réaliser le procédé de gestion de la navigation sur Internet du terminal selon l’invention qui sécurise la navigation sur Internet du terminal et de son utilisateur. Selon un autre mode de mise en œuvre de l’invention, qui pourra être mis en œuvre alternativement ou cumulativement avec le mode précédent, l’analyse par le modèle prédictif comprend une analyse réalisée par un modèle prédictif, dit premier modèle, présent dans le terminal, et une analyse réalisée par un autre modèle prédictif, dit second modèle, déporté sur un dispositif externe au terminal, l’analyse par le second modèle étant réalisée en fonction du résultat de l’analyse par le premier modèle. Dans ce mode de réalisation, un premier modèle, plus simple et de petite taille, est présent dans le terminal et effectue une première analyse. Selon le résultat de cette première analyse, une deuxième analyse pourra être effectuée en interrogeant un second modèle, plus détaillé que le premier modèle et de plus grande taille. Ce second modèle, au vu de sa taille, est présent dans un dispositif externe au terminal. La deuxième analyse est réalisée par exemple quand il existe une suspicion que le site analysé puisse être malveillant, mais sans garantie totale. Le deuxième modèle, plus détaillé, permet alors de lever l’ambigüité qui demeure après la première analyse. Grâce à ce mode de réalisation, il est possible de combiner les avantages d’un mode décentralisé, dans lequel un modèle de petite taille est présent dans les navigateurs des terminaux, et d’un mode plus centralisé, dans lequel un modèle de grande taille est présent dans un serveur centralisé. L’analyse réalisée par le modèle présent dans les navigateurs de terminaux permet en général de donner une première réponse rapide d’innocuité ou de dangerosité. C’est quand cette première analyse ne permet pas de trancher avec suffisamment de certitude qu’une deuxième analyse est effectuée avec le second modèle, déporté sur un dispositif externe au terminal. Selon un autre mode de mise en œuvre de l’invention, qui pourra être mis en œuvre alternativement ou cumulativement avec le précédent mode, l’action relative à la navigation sur Internet du terminal comprend un affichage sur le terminal d’un avis déterminé en fonction de la donnée fournie représentative d’un score de confiance relatif au site cible. Grâce à ce mode de réalisation, une première mesure de protection consiste à alerter l’utilisateur du terminal en affichant un avis relatif à la dangerosité du site Internet vers lequel un accès est demandé. Le modèle prédictif va donner un score de confiance à partir des métriques obtenues. Ce score de confiance est dépendant de la forme du modèle prédictif. Si le modèle prédictif est un réseau de neurones, par exemple, il pourra fournir comme résultat un nombre réel plus ou moins grand. Un tel nombre réel ne peut être présenté de façon brute à l’utilisateur. Un avis doit en être déduit, par exemple en définissant des échelles de confiance regroupant des intervalles de scores. Les avis peuvent aller de « dangereux » à « inoffensif », avec éventuellement des qualifications telles que « tout à fait » ou « plutôt ». Des couleurs ou des logos peuvent être utilisées pour avoir une présentation simple de l’avis à l’utilisateur. C’est cet avis sur le site dont l’accès est demandé que le terminal, par l’intermédiaire du navigateur Internet, va présenter à l’utilisateur afin qu’il soit averti de son éventuelle dangerosité ou au contraire rassuré quant à son innocuité. Selon un autre mode de mise en œuvre de l’invention, qui pourra être mis en œuvre alternativement ou cumulativement avec les modes précédents, l’action relative à la navigation de l’utilisateur comprend un blocage de la navigation sur Internet du terminal. Grâce à ce mode de réalisation, l’utilisateur du navigateur Internet est protégé durant sa navigation. Cette navigation est bloquée si le score de confiance atteint un seuil tel que le blocage de la navigation est jugé nécessaire. De cette façon, l’utilisateur est immédiatement protégé de sites Internet potentiellement dangereux. Selon un autre mode de mise en œuvre de l’invention, qui pourra être mis en œuvre alternativement ou cumulativement avec les modes précédents, le site cible comprend un formulaire comprenant au moins un champ à compléter et l’action relative à la navigation sur Internet du terminal comprend l’effacement d’au moins une partie des champs de formulaires présents dans le site cible. Grâce à ce mode de réalisation, l’utilisateur du navigateur Internet est protégé durant sa navigation. L’obtention des métriques du site cible prend un certain temps, ainsi que l’analyse de celles-ci par le modèle prédictif. Il est possible d’envisager un mode de réalisation de la navigation sur Internet selon l’invention dans lequel les utilisateurs ne se rendront vers des sites cibles qu’une fois effectuée l’analyse de ceux-ci. Mais le mode qui sera le plus souvent réalisé consistera à effectuer l’obtention des métriques et l’analyse de celles-ci en parallèle de la navigation sur Internet du terminal de l’utilisateur. Dans ce mode d’analyse et de navigation en parallèle, il va arriver qu’un utilisateur commence à remplir des champs de formulaires, donc commence à fournir des données sensibles, sur un site dont l’analyse des métriques va révéler qu’il est dangereux. L’action menée par l’entité de gestion va alors comprendre l’effacement des champs des formulaires afin de tenter de prévenir la fourniture des données privées de l’utilisateur au site dangereux. Cette action d’effacement pourra être combinée avec une action de blocage de la navigation et d’avertissement donné à l’utilisateur. Selon un autre mode de mise en œuvre de l’invention, qui pourra être mis en œuvre alternativement ou cumulativement avec les modes précédents, la donnée représentative d’un score de confiance relatif au site cible est complétée par une indication d’un site Internet distinct du site cible. Grâce à ce mode de réalisation, l’analyse des métriques est complétée par une analyse qui cherche à déterminer quel est le site légitime usurpé lorsque l’analyse des métriques montre que le site cible usurpe effectivement un site légitime. La proposition du site légitime permettra ainsi de réorienter la navigation de l’utilisateur vers le bon site. Un site qui n’est pas forcément le site usurpé mais un site inoffensif peut être proposé en complément de l’analyse même si celle-ci ne découvre pas le site légitime usurpé par le site cible. Selon un autre mode de mise en œuvre de l’invention, qui pourra être mis en œuvre alternativement ou cumulativement avec les modes précédents, l’analyse comprend une capture d’écran d’une page du site cible, l’extraction d’images à partir de la capture d’écran et l’analyse des images extraites par un algorithme de reconnaissance d’images. Grâce à ce mode de réalisation, la détermination du site légitime usurpé est facilitée. Cette détermination va s’appuyer sur des analyses d’images extraites du site cible. En particulier, une ou plusieurs captures d’écran du site cible va permettre ensuite d’extraire des images présentes dans celui-ci. Parmi ces images extraites, dans le cas d’un site usurpant l’identité d’un site légitime, on va trouver des images imitant ou copiant les images telles que des logos présentes ou attendues sur le site légitime. Un algorithme de reconnaissance d’images entraîné sur une base d’images présentes sur les sites légitimes, telles que les logos des institutions propriétaires des sites en question par exemple, pourra alors reconnaître les images extraites de la ou des captures d’écran comme des copies ou des imitations de ces logos. Une fois cette reconnaissance réussie, il est alors facile de dire quel est le site légitime usurpé par le site cible. Le site légitime peut être alors proposé à l’utilisateur pour continuer sa navigation vers le site vers lequel il souhait accéder réellement alors qu’il avait été guidé vers un site attaquant par un message d’hameçonnage. Selon un autre mode de mise en œuvre de l’invention, qui pourra être mis en œuvre alternativement ou cumulativement avec les modes précédents, la capture d’écran d’une page du site cible est soumise à une demande d’autorisation de l’utilisateur. Le transfert d’une capture d’écran du site cible peut poser un problème de confidentialité de la navigation de l’utilisateur que ne pose pas le transfert de métriques. Grâce à ce mode de réalisation, cette fonctionnalité est soumise à une autorisation de l’utilisateur afin de préserver cette confidentialité ou, en tout cas, de s’assurer que l’utilisateur est informé de ce transfert. Selon un autre mode de mise en œuvre de l’invention, qui pourra être mis en œuvre alternativement ou cumulativement avec les modes précédents, au moins une des métriques est obtenue à partir d’au moins une information parmi les catégories d’informations suivantes : Informations relatives à l’adresse Internet du site cible ; Informations relatives à la navigation passée du terminal ; Informations relatives aux contenus des pages du site cible, avant ou après rendu et exécution de code contenu dans le site cible ; Informations de réputation obtenues auprès de services externes ; Informations relatives aux certificats cryptographiques utilisés par le site cible. Grâce à ce mode de réalisation, toutes les catégories d’information pouvant signaler la dangerosité d’un site sont exploitées. Un grand nombre de métriques peuvent être obtenues à partir des informations dans ces catégories. Un modèle prédictif, par exemple un réseau de neurones, peut alors être appris par un procédé d’apprentissage supervisé, par exemple, c’est-à-dire que les métriques correspondant à des sites connus comme étant dangereux sont fournies en entrée de l’apprentissage du modèle prédictif, avec de surcroît l’information que ces métriques sont obtenues à partir d’un site dangereux. Selon un autre mode de mise en œuvre de l’invention, qui pourra être mis en œuvre alternativement ou cumulativement avec les modes précédents, le modèle prédictif est enrichi avec des métriques obtenues et d’autres informations relatives au site cible. Grâce à ce mode de réalisation, le modèle prédictif est enrichi par la navigation des utilisateurs. Les entités de gestion présentes dans les navigateurs Internet peuvent transmettre au modèle prédictif les métriques qu’elles recueillent au fur et à mesure de leur navigation sur Internet. Des avis peuvent également être demandés aux utilisateurs quant à l’innocuité et à la dangerosité des sites Internet sur lesquels ils naviguent. L’ensemble de ces informations, à savoir les métriques des sites et les avis associés, peuvent alors enrichir le modèle prédictif et affiner ses avis grâce à cette grande quantité de données. Selon un premier aspect matériel, l’invention a trait à une entité de gestion apte à réaliser un procédé de gestion de la navigation sur Internet d’un terminal comprenant les modules suivants : Module d’obtention de métriques d’un site Internet, dit site cible, vers lequel un accès est demandé par le terminal ; Module d’analyse des dites métriques par un modèle prédictif fournissant une donnée représentative d’un score de confiance relatif au site cible ; Module d’action relative à la navigation sur Internet du terminal en fonction de la donnée représentative fournie par le modèle prédictif. Signalons que dans le présent texte, les termes « module » ou « entité » peuvent correspondre aussi bien à un composant logiciel qu’à un composant matériel ou à un ensemble de composants matériels et logiciels, un composant logiciel correspondant lui-même à un ou plusieurs programmes ou sous-programmes d’ordinateur ou de manière plus générale à tout élément d’un programme apte à mettre en œuvre une fonction ou un ensemble de fonctions telles que décrites pour les modules concernés. De la même manière, un composant matériel correspond à tout élément d’un ensemble matériel (ou hardware) apte à mettre en œuvre une fonction ou un ensemble de fonctions pour le module concerné (circuit intégré, carte à puce, carte à mémoire, etc.). L'entité de gestion comprend un module d'analyse. L'analyse utilise un modèle prédictif. En général ce modèle est déporté sur un dispositif externe au terminal, en d’autres termes hébergé par un serveur distant. Dans ce cas, le module d'analyse compris dans l’entité de gestion va alors au minimum réaliser la transmission des métriques et la réception de la donnée représentative du score de confiance. Le reste de l’analyse est alors déportée sur un dispositif externe au terminal. Selon un autre aspect matériel, l’invention a trait à un terminal comprenant une entité de gestion selon l’invention. Le terminal mentionné ici peut être tout type de terminal qui comprend un navigateur Internet. On peut mentionner les ordinateurs, portables ou fixes, mais aussi les ordiphones (traduction de l’anglais smartphone ) ou bien des terminaux plus grands, tels que des tablettes tactiles ou des phablettes (traduction de l’anglais phablet ) ou des terminaux plus petits, tels que des montres connectées ou tout autre objet connecté. Le terminal peut également être l’ordinateur de bord d’un véhicule, par exemple une automobile connectée. L’entité de gestion pourra alors être un composant du navigateur Internet du terminal, ou bien un programme séparé qui communique avec le navigateur Internet, à l’intérieur du terminal, en utilisant par exemple un bus logiciel ou tout autre élément de communication du terminal. Selon un autre aspect matériel, l’invention a trait à un programme d'ordinateur apte à être mis en œuvre par un terminal, le programme comprenant des instructions de code qui, lorsqu’il est exécuté par un processeur, réalise les étapes du procédé de gestion défini ci-dessus. Enfin, selon un autre aspect matériel, l’invention a trait à un support de données sur lequel est enregistré un programme d’ordinateur comprenant des séquences d’instructions pour la mise en œuvre du procédé de gestion défini ci-dessus. Les supports de données peuvent être n'importe quelle entité ou dispositif capable de stocker les programmes. Par exemple, les supports peuvent comporter un moyen de stockage, tel qu'une ROM, par exemple un CD ROM ou une ROM de circuit microélectronique, ou encore un moyen d'enregistrement magnétique tel qu’un un disque dur. D'autre part, les supports peuvent être des supports transmissibles tels qu'un signal électrique ou optique, qui peuvent être acheminés via un câble électrique ou optique, par radio ou par d'autres moyens. Les programmes selon l'invention peuvent être en particulier téléchargés sur un réseau de type Internet. Alternativement, le support d'informations peut être un circuit intégré dans lequel le programme est incorporé, le circuit étant adapté pour exécuter ou pour être utilisé dans l'exécution du procédé en question. Brève description des figures L'invention sera mieux comprise à la lecture de la description qui suit, donnée à titre d'exemple, et faite en référence aux dessins annexées sur lesquels : FIG. 1 représente un terminal et un navigateur Internet comprenant une entité de gestion selon l’invention, utilisés lors de la navigation sur Internet d’un utilisateur. FIG. 2 illustre un exemple d’étapes mises en œuvre dans le cadre d’un mode de réalisation de l’invention. FIG. 3 représente un terminal et un navigateur Internet comprenant une entité de gestion selon l’invention, présentant une architecture différente que celle de la FIG. 1 . Description détaillée La FIG. 1 représente un exemple de mode de réalisation de l’invention parmi ceux possibles. Dans cet exemple, la FIG. 1 décrit un terminal DVC incluant un navigateur Internet BWR. Le terme « navigateur » est choisi comme traduction de l’anglais browser . Le navigateur BWR comprend lui-même une entité de gestion 100. L’entité de gestion 100, dans d’autres modes de réalisation, peut être un programme distinct du navigateur BWR, qui communique avec lui. On peut imaginer également un mode de réalisation dans lequel l’entité de gestion 100 n’est pas incluse dans le terminal DVC, mais reçoit les informations nécessaires à l’exécution du procédé de gestion depuis le navigateur BWR. Par exemple, une entité de gestion 100 pourrait être déployée dans une passerelle domestique et réaliser le procédé de gestion pour l’ensemble des terminaux DVC présents dans le réseau local de la passerelle domestique. L’entité de gestion 100 comprend elle-même trois modules : Le module 101 est un module permettant de réaliser l’obtention de métriques de sites Internet. Le module 102 est un module permettant de réaliser l’analyse de métriques par un modèle prédictif et d’obtenir une donnée représentative d’un score de confiance relatif à un site Internet. Le module 103 est un module permettant de réaliser une action relative à la navigation du terminal DVC sur un site Internet. La FIG. 1 présente un exemple de réalisation de l’invention dans laquelle l’entité de gestion 100 est comprise dans le navigateur BWR. La plupart des navigateurs proposent un mécanisme d’extension qui permettent de compléter les fonctions de base d’un navigateur Internet par d’autres fonctionnalités. L’entité de gestion 100 peut être une extension du navigateur Internet BWR et sera alors comprise dans celui-ci. Dans d’autres modes de réalisation, l’entité de gestion 100 est un programme s’exécutant dans le terminal DVC et qui communique avec le navigateur Internet BWR pour réaliser les étapes du procédé selon l’invention. Dans d’autres modes de réalisation, l’entité de gestion 100 s’exécute en dehors du terminal DVC et réalise le procédé de gestion en communiquant avec lui. Le terminal DVC présente l’architecture matérielle d’un ordinateur conventionnel. Il comporte notamment un processeur, une mémoire vive de type RAM et une mémoire morte telle qu’une mémoire de type Flash, ROM (mémoires non représentées sur la figure) ainsi que des dispositifs d’entrée-sortie tels que claviers et/ou écrans (non représentés sur la figure). Le terminal DVC peut être un ordinateur fixe ou portable, ou bien un ordiphone (traduction de l’anglais smartphone ), ou bien une tablette tactile ou une phablette (traduction de l’anglais phablet ) ou bien encore un objet connecté tel qu’une montre connectée. Le terminal DVC peut être aussi l’ordinateur de bord d’un véhicule automobile, ou bien un système multimédia embarqué dans un véhicule, c’est-à-dire un système de divertissement à bord (traduction de l’anglais in-flight entertainment ) à destination des passagers, par exemple dans une automobile, mais aussi dans un avion, un autocar, un train ou dans un navire. Le terminal DVC peut aussi être une console de jeux ou tout autre équipement pouvant remplir des fonctions similaires aux équipements cités ci-dessus. Dans tous les cas, le terminal DVC comprend un navigateur Internet BWR. Celui-ci est un programme qui permet à l’utilisateur du terminal DVC d’accéder à un site Internet et d’interagir avec ce dernier. Le navigateur BWR affiche à l’utilisateur, par l’intermédiaire de l’écran du terminal DVC, le contenu d’un site Internet. L’utilisateur peut alors fournir, par l’intermédiaire des dispositifs d’entrée du terminal DVC tels qu’un clavier ou un écran tactile présentant un clavier virtuel, ou par des commandes vocales captées par un micro du terminal, des données qui sont adressées au site Internet. L’entité de gestion 100 peut être comprise dans le navigateur BWR, par exemple en utilisant un mécanisme d’extension, ou bien peut être un programme s’exécutant dans le terminal DVC en parallèle du navigateur BWR, ou bien un programme s’exécutant en dehors du terminal DVC, gérant le procédé de gestion pour plusieurs terminaux en parallèle. Par exemple, l’entité de gestion 100 peut être un programme s’exécutant dans une passerelle d’accès et réalisant le procédé selon l’invention pour l’ensemble des terminaux DVC présents dans le réseau local créé par la passerelle d’accès. Dans l’exemple représenté par la FIG. 1 , le terminal DVC peut se connecter à un réseau de communication NET. Ce réseau de communication NET peut être par exemple le réseau Internet. C’est par l’intermédiaire du réseau de communication NET que le navigateur Internet BWR peut interagir avec des sites Internet. Trois sites Internet S1, S2, S3 sont représentés sur la FIG. 1 . En général, l’interaction du navigateur BWR avec les sites S1, S2, S3 se fait en utilisant le protocole HTTP (acronyme de l’anglais Hypertext Transfer Protocol ) mais d’autres protocoles peuvent aussi être utilisés. L’entité de gestion 100 interagit avec un modèle prédictif MDL. Dans l’exemple de réalisation de l’invention présenté dans la FIG. 1 , le modèle prédictif MDL est hébergé par un dispositif SRV externe au terminal DVC. Le dispositif SRV sera par exemple un serveur informatique. Il aura dans tous les cas l’architecture matérielle d’un ordinateur conventionnelle. Il peut s’agir aussi d’une machine virtuelle s’exécutant dans un système d’informatique en nuage (traduction de l’anglais cloud computing ) ou bien un ensemble d’un ou plusieurs conteneurs (traduction de l’anglais containers ) comprenant les programmes et données nécessaires pour faire s’exécuter le modèle prédictif MDL. L’entité de gestion 100 peut utiliser le réseau de communication NET afin d’interagir avec le dispositif SRV et ainsi avec le modèle prédictif MDL. L’entité de gestion 100 peut également utiliser un réseau distinct du réseau NET, par exemple un réseau privé virtuel (traduction de l’anglais Virtual Private Network ) afin d’assurer une meilleure confidentialité et sécurité aux communications entre le terminal DVC et le dispositif SVR. Un avantage de l’architecture présentée dans la FIG. 1 est de pouvoir disposer d’un modèle prédictif MDL de grande taille, et donc pouvant prendre en compte un grand nombre de paramètres. Il ne serait pas efficace qu’un tel modèle prédictif MDL de grande taille soit distribué dans l’ensemble des navigateurs Internet BWR comprenant une entité de gestion 100 réalisant le procédé selon l’invention. En conservant un modèle prédictif MDL centralisé, hébergé dans un serveur SRV, la question de la taille du modèle MDL n’a pas à être prise en compte. De plus, l’architecture centralisée décrite en FIG. 1 permet d’éviter de mettre au point un mécanisme de distribution du modèle prédictif MDL ainsi qu’un mécanisme de mise à jour afin de s’assurer qu’il soit toujours pertinent. Dans d’autres exemples de réalisation, le modèle prédictif MDL peut être présent dans le terminal DVC. Par exemple, le modèle MDL peut être un module de l’entité de gestion 100. Cette solution a l’intérêt de faciliter l’interrogation du modèle prédictif MDL par l’entité de gestion 100 en comparaison à l’architecture représentée sur la FIG. 1 dans laquelle le modèle prédictif MDL est hébergé par un serveur SRV. Dans d’autres exemples de réalisation, l’entité de gestion 100 utilise plusieurs modèles de prédiction qui peuvent être présents dans le terminal DVC ou dans un dispositif distinct SVR. Le procédé selon l’invention est réalisé par l’entité de gestion 100 lors de la navigation sur Internet de l’utilisateur du terminal DVC par l’intermédiaire du navigateur BWR compris dans le terminal DVC. Lors de cette navigation, le navigateur BWR va interagir avec un site Internet tel que S1, S2, S3. Cette interaction permet au module 101 de l’entité de gestion 100 d’obtenir tout un ensemble de métriques FTR (traduction de l’anglais features ) à partir d’un site que l’utilisateur semble souhaiter visiter. Les métriques FTR sont obtenues à partir d’informations relatives à l’interaction selon le protocole http avec les sites S1, S2, S3. Ces métriques FTR seront ensuite soumises au modèle prédictif MDL. Des métriques FTR sont par exemple obtenues à partir de l’adresse du site S1, S2, S3, également appelée URL (acronyme de l’anglais Uniform Resource Locator ). Les métriques FTR obtenues à partir de l’URL du site S1, S2, S3 sont par exemple les suivantes : Longueur totale de l’URL ; Longueur moyenne des différents mots de l’URL ; Présence ou non d’un sous-domaine dans l’URL ; Profondeur, longueur totale, longueur moyenne des mots, nombre de tirets et nombre de chiffres présents dans le sous-domaine ; Profondeur, longueur totale, longueur moyenne des mots, nombre de tirets et nombre de chiffres présents dans le domaine ; Présence d’un chemin dans l’URL ; Profondeur, longueur totale, longueur moyenne des mots, nombre de tirets et nombre de chiffres présents dans le chemin ; Présence de paramètres dans l’URL. L’homme du métier connaît les significations des termes domaine, sous-domaine, chemin et paramètres dans ce contexte. Pour donner un exemple, dans l’URL suivante : http://ventes.orange.fr/exemple/client?terminal=phone la chaîne de caractères « orange » est le domaine ; la chaîne de caractères « fr » est le domaine de premier niveau (traduction de l’anglais top level domain , dont l’acronyme est TLD) ; la chaîne « ventes » est le sous-domaine ; la chaîne « exemple/client » est le chemin et la chaîne « terminal=phone » indique la présence d’un paramètre « terminal » qui prend la valeur « phone ». Par ailleurs, la chaîne de caractères « http » indique que le protocole d’interaction avec le site Internet est le protocole HTTP et non pas un autre protocole tel que FTP (acronyme de l’anglais File Transfer Protocol ) ou HTTPS (version chiffrée du protocole HTTP). Les métriques FTR obtenues à partir de l’URL du site visité sont révélatrices d’adresses de sites contournées, qui cherchent à dissimuler certains éléments, ou qui cherchent à obtenir des paramètres inhabituels, ce qui est révélateur d’un site d’hameçonnage cherchant à usurper l’identité d’un site légitime. D’autres métriques FTR peuvent être obtenues à partir de l’URL du site visité que celles présentées ci-dessus qui ne sont que des exemples non limitatifs. D’autres métriques FTR sont obtenues à partir de données relatives à la navigation passée de l’utilisateur. Par exemple, une métrique FTR obtenue est le nombre de redirections qui ont permis d’arriver au site Internet S1, S2, S3 qui va être analysé. Ces redirections peuvent être causées ou bien par la navigation selon le protocole HTTP ou bien par des instructions d’un code hébergé dans le ou les sites présents sur le chemin de navigation. Ces codes seront souvent écrits dans le langage Javascript mais tout autre langage peut être utilisé. Un nombre élevé de redirections peut être révélateur d’une dissimulation des adresses finales vers lesquelles l’utilisateur est mené par un site attaquant. D’autres métriques FTR obtenues à partir de la navigation passée de l’utilisateur peuvent être définies. D’autres métriques FTR sont obtenues à partir d’informations relatives aux contenus des pages du site cible, avant ou après rendu et exécution de code (par exemple Javascript) contenu dans le site cible. Les métriques FTR obtenues à partir des contenus des pages du site cible sont par exemple les suivantes : Présence ou nom d’une balise TITLE, ou balise de titre, dans la page ; Présence ou nom de balises H1, indiquant le niveau de section le plus élevé, et donc un titre, dans la page ; Nombre de balises SCRIPT, c’est-à-dire indiquant la présence d’un code exécutable ; Nombre de balises SCRIPT incluant des ressources hébergées par le même nom de domaine ; Nombre de balises SCRIPT incluant des ressources hébergées par des noms de domaines différents ; Nombre de balises SCRIPT incluant du code contenu directement dans la page du site cible ; Nombre de liens vers d’autres pages contenus dans la page du site cible ; Nombre de liens pointant vers des pages hébergées par le même nom de domaine ; Nombre de liens pointant vers des pages hébergées par des noms de domaines différents ; Nombre de liens vides ou inactifs ; Nombre de balises IMG, c’est-à-dire indiquant ou contenant des images ; Nombre de balises IMG affichant des images hébergées par le même nom de domaine ; Nombre de balises IMG affichant des images hébergées par des noms de domaines différents ; Nombre de balises IMG affichant des images contenues directement dans la page du site cible (au format base64). Ces métriques révèlent la structure interne des pages du site cible S1, S2, S3. Elles peuvent indiquer que des éléments dangereux sont camouflés dans cette structure, par exemple dans des images apparemment inoffensives. La référence à des éléments externes peut également indiquer un site Web usurpant un site légitime, alors que le site légitime ne ferait référence qu’à des éléments présents dans le site lui-même. D’autres métriques FTR peuvent être obtenues à partir du contenu des pages des sites visités et les métriques FTR définies ci-dessus qui ne sont que des exemples possibles. D’autres métriques FTR sont obtenues à partir d’informations de réputation fournies par des services externes. Par exemple, des services tels que le moteur de recherche de Google, qui recensent une très grande partie des sites Internet existants, et qui parcourent régulièrement Internet pour détecter l’apparition de nouveaux sites, utilisent des algorithmes de mesures de la bonne réputation d’un site, à partir du nombre de liens aboutissant vers le site. Le résultat de ces algorithmes de mesures peut être rendu public. C’est par exemple le cas d’Open PageRank, un service gratuit rendu par la société DomCop, qui fournit un chiffre calculé en utilisant le même algorithme que celui utilisé par Google pour classer la réputation des sites. D’autres chiffres fournis par des services externes peuvent être utilisés comme métriques FTR. D’autres métriques FTR peuvent être obtenues à partir des certificats cryptographiques utilisés et affichés par le site cible. Ces métriques FTR sont par exemple les suivantes : Présence ou non d’un chiffrement TLS (acronyme de l’anglais Transport Layer Security , à savoir le protocole standard de chiffrement utilisé par les sites Web) ; Émetteur du certificat ; Âge du certificat. De telles métriques FTR permettent de révéler quelle est la réputation de l’émetteur du certificat, ainsi que si des périodes de détournement des émetteurs de certificats ont pu être mises à profit par des attaquants pour forger des certificats erronés. La non-utilisation même de TLS est un indice important, car un site légitime aura tendance à utiliser un certificat TLS pour garantir son identité. D’autres métriques FTR peuvent être obtenues à partir des certificats cryptographiques, comme une discordance entre une adresse de site et le certificat présent sur le site. D’autres types de métriques FTR peuvent être obtenues à partir des informations accessibles à l’entité de gestion 100, et en particulier au module 101 d’obtention de métriques FTR, depuis les sites Web visités S1, S2, S3. Nous rappelons que l’interaction entre le navigateur BWR et les sites Web S1, S2, S3 qui donne accès à ces informations et permet donc d’obtenir les métriques FTR est une interaction similaire à celle de tout navigateur Internet avec un site Internet. Cette interaction ne permet donc pas à un éventuel site attaquant parmi les sites S1, S2, S3 de détecter qu’il est soumis à une analyse par le navigateur BWR et l’entité de gestion 100. Un éventuel site attaquant ne va donc pas mettre en œuvre des mesures de dissimulation similaires à celles qu’il peut mettre en œuvre quand il détecte qu’un site centralisé procède à une analyse systématique des sites Internet pour détecter des sites attaquants. Le module 101 d’obtention de métriques FTR obtient les métriques FTR ou bien en réalisant des calculs ou traitements simples à partir des informations accessibles des sites S1, S2, S3 ou bien en interrogeant des services tiers, tels qu’Open PageRank ou d’autres. Une fois les métriques FTR obtenues, celles-ci sont fournies au module 102 d’analyse des métriques FTR par un modèle prédictif MDL. Dans le mode de réalisation présenté sur la FIG. 1 , le modèle prédictif MDL est hébergé par un dispositif SRV externe au terminal DVC. Dans d’autres modes de réalisation, le modèle MDL peut être présent dans l’entité de gestion 100, par exemple en tant que composant du module d’analyse 102. Dans d’autres modes encore, le modèle prédictif MDL peut être un composant du navigateur BWR ou du terminal DVC. Dans d’autres modes de réalisation enfin, le modèle prédictif MDL peut être séparé en plusieurs composants : une partie du modèle MDL peut être présente dans l’entité de gestion 100 et réaliser un premier traitement des métriques FTR, puis un traitement postérieur peut être ensuite réalisé par un composant du modèle MDL hébergé dans un serveur distant. Dans d’autres modes de réalisation enfin, plusieurs modèles prédictifs peuvent être utilisés, qui peuvent être présents dans le terminal DVC ou dans un dispositif SRV externe au terminal DVC. Les avantages de ces différentes architectures sont les suivants : Dans une architecture centralisée, où le modèle MDL est hébergé dans le dispositif SRV distinct du terminal DVC, le modèle prédictif MDL peut être d’une très grande taille, qui ne serait pas manipulable par un composant du navigateur BWR. De plus, il peut être mis à jour facilement, sans avoir à mettre en place un protocole de distribution du modèle MDL à l’ensemble des terminaux DVC ou des navigateurs BWR intégrant une entité de gestion 100 selon l’invention. Dans une architecture décentralisée, où le modèle MDL est hébergé en totalité ou en partie dans l’entité de gestion 100, l’interrogation du modèle MDL par le module d’analyse 102 se fait de façon instantanée. De plus, quand le modèle MDL est hébergé dans le navigateur BWR, celui-ci est disponible même en cas d’indisponibilité du dispositif SVR. Une architecture possible est d’utiliser un modèle prédictif MDL intégré dans un dispositif SVR, mais que les navigateurs BWR réalisant l’invention disposent également dans l’entité de gestion 100 d’une copie du modèle MDL qui est mise à jour de façon moins fréquente que le modèle MDL hébergé dans le dispositif SVR qui peut être un serveur centralisé. Cette copie du modèle MDL pourra alors être utilisée en cas d’indisponibilité du serveur SVR. Dans tous les cas, le modèle prédictif MDL se voit fournir en entrée les métriques FTR obtenues par le module 101 et va fournir en sortie une donnée SCR représentative d’un score de confiance relatif au site Internet parmi les sites S1, S2, S3 pour lequel les métriques FTR ont été obtenues. Le modèle prédictif MDL peut être par exemple un réseau de neurones qui a suivi un apprentissage supervisé ou non supervisé. Dans un apprentissage supervisé, un ensemble d’apprentissage est formé de métriques FTR obtenues à partir de sites Internet dont on sait s’ils sont des sites légitimes ou bien des sites attaquants. L’apprentissage va permettre alors de modifier les paramètres du réseau de neurones afin que celui-ci, lorsqu’on lui soumettra des métriques FTR d’un site Internet pourra discriminer entre celles obtenues à partir d’un site légitime et celles obtenues à partir d’un site attaquant. Dans un apprentissage non supervisé, les métriques FTR obtenues à partir de sites Internet sont utilisées pour l’apprentissage du modèle MDL sans disposer d’un verdict quant à l’innocuité ou non du site Internet. Ceci permet d’inclure une grande quantité de sites dans l’ensemble d’apprentissage puisqu’un verdict n’a pas à être donné pour chaque site et ses métriques FTR associées. Ces notions d’apprentissage supervisé ou non supervisé d’un réseau de neurones sont bien connues des spécialistes des réseaux de neurones et ne sont pas davantage détaillées ici. Quand le modèle MDL est un réseau de neurones, il est possible de lui soumettre des métriques FTR du même type que celles qui ont servi à son apprentissage et il pourra effectuer une discrimination quant au site pour lequel les métriques FTR ont été obtenues. Cette discrimination se traduit en un score de confiance dont une donnée représentative SCR est alors obtenue par le module d’analyse 102. Le modèle prédictif MDL peut être d’un autre type qu’un réseau de neurones. Le modèle MDL peut être par exemple un système expert qui utilise un ensemble de règles logiques pour dériver la donnée SCR représentative d’un score de confiance envers le site Internet pour lequel on a obtenu les métriques FTR. De telles règles logiques traduisent le raisonnement d’un expert et doivent être, en général, créées par un processus dédié. Par exemple, une telle règle pourrait consister à dire que si, d’une part le site Internet analysé parmi les sites S1, S2, S3 affiche des mots relatifs à une activité bancaire, tels que « banque », « carte bancaire », « virement », « paiement », « facture », et d’autre part le site Internet analysé n’utilise aucun chiffrement, alors le site analysé est probablement un site attaquant et pas du tout le site légitime d’une banque. Les métriques FTR pour appliquer cette règle seraient donc la présence de certains mots dans le site d’une part et la présence d’un certificat cryptographique d’autre part et la donnée SCR serait alors un résultat binaire sur la dangerosité du site analysé. Il est également possible d’utiliser un modèle prédictif MDL qui soit une fonction mathématique calculée à partir des métriques FTR. Une fonction linéaire peut par exemple exister entre le risque qu’un site soit un site attaquant et une ou plusieurs métriques FTR données, comme un chiffre de réputation. Plusieurs fonctions peuvent être ainsi combinées pour former le modèle prédictif MDL. En général, le modèle prédictif MDL peut être construit en utilisant plusieurs techniques issues des travaux de l’intelligence artificielle et de l’apprentissage automatique (traduction de l’anglais machine learning ). Par exemple, le modèle MDL peut être formé d’un réseau de neurones artificiels complété par un ensemble de règles d’un système expert qui permettent de s’assurer qu’une information particulièrement pertinente (un très mauvais score de réputation par exemple) ne sera pas noyé dans l’ensemble des métriques FTR utilisées en entrée du réseau de neurones formant le modèle MDL. Un avantage important de l’invention est que le modèle prédictif MDL ne reçoit que des métriques FTR et pas l’identité du site visité parmi les sites S1, S2, S3. Ainsi, la confidentialité de la navigation sur Internet de l’utilisateur est préservée même quand le modèle prédictif MDL est hébergée par un dispositif SRV qui est un serveur centralisé. Les seules informations fournies au serveur SRV centralisé sont des métriques FTR qui ne permettent pas de reconstruire l’identité des sites visités mais qui permettent quand même au modèle prédictif MDL de fournir un diagnostic quant à la dangerosité du site visité. Le modèle prédictif MDL peut être enrichi tout le long de l’utilisation du procédé selon l’invention par les métriques FTR qui lui sont soumises associées à d’autres informations relatives au site visité parmi les sites S1, S2, S3. Une fois que le module d’analyse 102 aura produit une donnée SCR représentative d’un score de confiance relatif au site Internet visité, le module d’action 103 effectuera une action ACT relative à la navigation Internet pour protéger l’utilisateur d’un site Internet détecté comme dangereux. L’action ACT relative à la navigation peut être de plusieurs natures. Tout d’abord, dans le cas général, la donnée SCR représentative d’un score de confiance est telle que le module d’action 103 peut en déduire que le site visité parmi les sites S1, S2, S3 est inoffensif et, dans ce cas, l’action ACT va consister à laisser le terminal de l’utilisateur poursuivre sa navigation sans intervention du module d’action 103. Une autre action ACT possible est l’affichage à l’utilisateur d’une information déduite de la donnée SCR relative au score de confiance. Le modèle prédictif MDL va donner un score de confiance SCR à partir des métriques FTR obtenues. Ce score de confiance, ou la donnée SCR représentative de ce score, est dépendant de la forme du modèle prédictif MDL. Si le modèle prédictif MDL est un réseau de neurones, par exemple, il pourra fournir comme résultat un nombre réel plus ou moins grand. Un tel nombre réel ne peut être présenté de façon brute à l’utilisateur. Un avis doit en être déduit, par exemple en définissant des échelles de confiance regroupant des intervalles de scores. Les avis peuvent aller de « dangereux » à « inoffensif », avec éventuellement des qualifications telles que « tout à fait » ou « plutôt ». Des couleurs ou des logos peuvent être utilisées pour avoir une présentation simple de l’avis à l’utilisateur. C’est cet avis sur le site dont l’accès est demandé que le terminal DVC, par exemple par l’intermédiaire du navigateur Internet BWR, va présenter à l’utilisateur afin qu’il soit averti de son éventuelle dangerosité ou au contraire rassuré quant à son innocuité. Une autre possibilité d’action ACT est de bloquer la navigation de l’utilisateur. Si la donnée SCR représentative du score de confiance est suffisamment forte pour que le diagnostic de dangerosité du site parmi les sites S1, S2, S3 soit quasiment certain, le module d’action 103 va bloquer la navigation sur le site dangereux afin de protéger l’utilisateur et éviter qu’il ne révèle des données sensibles ou que le terminal DVC soit infecté par un logiciel téléchargé depuis le site dangereux. Une autre possibilité d’action ACT est d’effacer les champs de formulaires présents sur le site parmi les sites S1, S2, S3 sur lequel l’utilisateur est en cours de navigation. L’obtention des métriques FTR du site cible prend un certain temps, ainsi que l’analyse de celles-ci par le modèle prédictif MDL. Il est possible d’envisager un mode de réalisation de la navigation sur Internet selon l’invention dans lequel les utilisateurs ne se rendront vers des sites cibles S1, S2, S3 qu’une fois effectuée l’analyse de ceux-ci. Mais le mode qui sera le plus souvent réalisé consistera à effectuer l’obtention des métriques FTR et l’analyse de celles-ci en parallèle de la navigation sur Internet de l’utilisateur. Dans ce mode d’analyse et de navigation en parallèle, il va arriver qu’un utilisateur commence à remplir des champs de formulaires, donc commence à fournir des données sensibles, sur un site dont l’analyse des métriques FTR révèle qu’il est dangereux. L’action ACT menée par le module 103 de l’entité de gestion 100 va alors comprendre l’effacement d’au moins une partie des champs des formulaires afin de tenter de prévenir la fourniture des données privées de l’utilisateur au site dangereux parmi les sites S1, S2, S3. Cette action ACT d’effacement pourra être combinée avec une action ACT de blocage de la navigation sur Internet et d’avertissement donné à l’utilisateur. Dans certains modes de réalisation, le module d’analyse 102, en plus de fournir une donnée SCR représentative d’un score de confiance relatif à un site cible donné, va également fournir une indication d’un site Internet distinct du site cible. L’objectif est, quand l’analyse des métriques FTR par le modèle prédictif MDL indique que le site cible est probablement un site usurpant l’identité d’un site légitime, de chercher à identifier le site légitime dont l’identité est usurpée. Lors de la réalisation de l’action ACT, le module 103 pourra ainsi ou bien orienter directement la navigation de l’utilisateur vers le site légitime ou bien indiquer à l’utilisateur que le site sur lequel il navigue a été détecté comme usurpant l’identité d’un site légitime et va lui proposer de poursuivre sa navigation sur le site légitime. Une manière de réaliser cette opération peut être la suivante. L’étape d’analyse effectuée par le module d’analyse 102 peut comprendre une capture d’écran d’une ou plusieurs pages du site cible parmi les sites S1, S2, S3. Cette capture d’écran peut être ensuite traitée selon des algorithmes connus de traitement d’images pour en extraire les images qui correspondent à des logos présents sur le site Internet cible. Ces images extraites peuvent être ensuite soumises à un algorithme de reconnaissance d’images qui dispose d’une base d’images tels que des logos présents sur un ensemble de sites légitimes tels que des sites d’organismes financiers, d’entreprises, d’administrations qui peuvent être usurpés par des sites attaquants. Un algorithme de reconnaissance d’images classique pourra alors indiquer que les images extraites du site cible sont identiques ou très proches des images présentes sur un site légitime donné. Ce résultat sera une indication claire que le site cible est bien en train de chercher à usurper l’identité d’un site légitime, et, par ailleurs, l’identité du site légitime sera ainsi connue. Le module d’analyse 102 pourra alors fournir cette identité au module 103 qui réalisera une action ACT relative à la navigation de l’utilisateur en prenant en compte le site légitime dont l’identité est usurpée par un site attaquant. L’analyse relative aux images affichées par le site cible pourra ou bien utiliser un algorithme de reconnaissance d’images et une base d’images qui seront hébergés dans un serveur distant, serveur qui pourra être le même dispositif SVR qui héberge le modèle prédictif MDL ou bien un autre serveur, ou une machine virtuelle ou un conteneur s’exécutant dans une architecture informatique en nuage, ou bien pourra être effectuée directement dans l’entité de gestion 100 qui peut embarquer l’algorithme de reconnaissance d’images dans le module d’analyse 102 ainsi qu’une base d’images. Les avantages de ces choix respectifs sont similaires à ceux relatifs au choix d’architecture effectué pour l’hébergement du modèle MDL, à savoir d’une part la facilité de mise à jour et la possibilité de manipuler une plus grande base d’images dans le cas d’un hébergement par un dispositif SVR externe au terminal DVC et d’autre part le temps de réponse plus rapide et la plus grande disponibilité dans le cas d’un hébergement directement par l’entité de gestion 100. On peut noter que le transfert d’une capture d’image du site cible vers un serveur SVR, contrairement au transfert de métriques FTR, peut impliquer une rupture de la confidentialité de la navigation sur Internet de l’utilisateur du terminal DVC par l’intermédiaire du navigateur BWR. Pour pallier cet inconvénient, le transfert des images capturées pourra être soumise à une autorisation demandée à l’utilisateur dans certains modes de réalisation. La FIG. 2 , quant à elle, présente un exemple d’étapes mises en œuvre dans le cadre d’un mode de réalisation de l’invention. Le navigateur BWR, lors de la navigation du terminal DVC et de son utilisateur sur Internet va requêter REQ des sites Internet, ici en l’occurrence d’abord le site S1. Celui-ci fournit, via le protocole HTTP, des données telles que des textes, des images, contenues dans une page écrite dans le langage HTML (acronyme de l’anglais Hyper-Text Markup Language ). Ces données permettent au navigateur BWR d’afficher le site Internet S1 à l’utilisateur. En parallèle, ou préalablement à l’affichage du site à l’utilisateur, l’entité de gestion 100 présente dans le navigateur BWR, et plus précisément le module 101, va obtenir toute une série de métriques FTR. Ces métriques FTR sont obtenues à partir d’éléments présents dans la ou les pages du site S1 qui sont connues du navigateur BWR grâce à la requête REQ. Le module d’analyse 102 soumet ces métriques FTR au modèle prédictif MDL qui va donner en réponse une donnée SCR représentative d’un score de confiance relatif au site Internet S1. L’entité de gestion 100 prendra en fonction de ce score SCR une décision qui se concrétise dans la réalisation d’une action ACT. En l’occurrence, ici, le navigateur BWR arrête sa navigation sur le site S1, car la donnée SCR indique que ce site n’est pas digne de confiance. Une action ACT supplémentaire pourra être l’effacement ou la tentative d’effacement des données ayant pu déjà être fournies par l’utilisateur au site S1 par l’intermédiaire du navigateur BWR. Le procédé selon l’invention se poursuit alors avec la navigation de l’utilisateur sur le site S2, pour lequel le navigateur BWR effectue une requête REQ afin d’obtenir des données HTML. Des métriques FTR sont extraites de ces nouvelles données HTML, métriques FTR soumises au modèle prédictif MDL. Celui-ci donne en réponse une donnée SCR représentative d’un score de confiance à donner au site S2. Ce score de confiance SCR n’indique pas un site dangereux, si bien que la navigation du navigateur BWR se poursuit sur le site S2 par une nouvelle requête REQ qui va obtenir une nouvelle page HTML. Le procédé selon l’invention se déroule ainsi tout du long de la navigation de l’utilisateur sur Internet. La FIG. 3 , quant à elle, présente un autre mode de réalisation de l’invention selon une architecture différente de celle déjà présentée. Dans cet exemple de réalisation, le terminal DVC comprend un modèle prédictif MDL1, dit premier modèle. Ce modèle MDL1 peut être par exemple inclus dans le navigateur BWR, par exemple dans le module 102 d’analyse de l’entité de gestion 100. Lorsque le module 101 d’obtention des métriques FTR obtient les métriques FTR d’un site S1, S2, S3, celles-ci peuvent être immédiatement soumises à une analyse effectuée par le module d’analyse 102 en utilisant le premier modèle prédictif MDL1. Cette première analyse pourra, selon ses résultats, être complétée par une analyse effectuée avec un autre modèle prédictif MDL2, dit second modèle MDL2, qui est hébergé dans un serveur SVR distinct du terminal DVC. Le premier modèle prédictif MDL1 peut être un modèle de petite taille, facile à déployer dans l’ensemble des terminaux DVC qui réalisent l’invention. Le résultat de l’analyse par ce premier modèle MDL1 pourra alors être obtenu rapidement, d’autant plus que le premier modèle MDL1 est présent dans le terminal DVC et donc facile d’accès. Le second modèle MDL2, quant à lui, est de beaucoup plus grande taille que le premier modèle MDL1 et ne peut donc pas être déployé dans l’ensemble des terminaux DVC. Il est hébergé dans un serveur SVR distinct des terminaux DVC. L’analyse par le second modèle MDL2 ne sera donc pas toujours réalisée dans cet exemple, ce qui est indiqué par une flèche en pointillés dans la FIG. 3 . Dans tous les cas, le module d’analyse 102 produit une donnée SCR représentative d’un score de confiance. Cette donnée SCR peut être obtenue directement à partir de l’analyse réalisée par le premier modèle prédictif MDL1. Si une analyse est réalisée également par le second modèle prédictif MDL2, la donnée SCR représentative d’un score de confiance peut être celle obtenue par l’analyse réalisée par le second modèle MDL2 ou bien obtenue en combinant les résultats des analyses effectuées par le premier modèle prédictif MDL1 et le second modèle MDL2. L’entité de gestion 100 pourra poursuivre la réalisation du procédé de gestion en effectuant une action ACT relative à la navigation sur Internet du terminal DVC en fonction de la donnée SCR représentative d’un score de confiance relatif au site cible S1, S2, S3 qui aura été obtenue après analyse par le premier modèle prédictif MDL1 et éventuellement par le second modèle MDL2. Cet exemple de réalisation a l’intérêt de présenter une architecture à la fois décentralisée, avec un premier modèle prédictif MDL1 de petite taille, facile à distribuer, qui se retrouve dans les terminaux DVC au plus près des analyses à réaliser, et un second modèle prédictif MDL2, a priori beaucoup plus détaillé que le premier modèle prédictif MDL1, et donc beaucoup plus difficile à distribuer et à mettre à jour, mais qui fournira des analyses plus détaillées si celles fournies par le premier modèle MDL1 sont insuffisantes. Procédé de gestion de la navigation sur Internet d’un terminal (DVC), mis en œuvre par une entité de gestion (100), caractérisé en ce qu’il comprend les étapes suivantes : Obtention de métriques (FTR) d’un site Internet, dit site cible (S1, S2, S3), vers lequel un accès est demandé par le terminal (DVC) ; Analyse des dites métriques (FTR) par un modèle prédictif (MDL) fournissant une donnée (SCR) représentative d’un score de confiance relatif au site cible (S1, S2, S3) ; Action (ACT) relative à la navigation sur Internet du terminal (DVC) en fonction de la donnée (SCR) représentative fournie par le modèle prédictif (MDL). Procédé de gestion selon la revendication 1, caractérisé en ce que l’analyse par le modèle prédictif (MDL) est au moins en partie déportée sur un dispositif (SVR) externe au terminal (DVC). Procédé de gestion selon la revendication 1, caractérisé en ce que l’analyse par le modèle prédictif (MDL) comprend une analyse réalisée par un modèle prédictif (MDL1), dit premier modèle, présent dans le terminal (DVC), et une analyse réalisée par un autre modèle prédictif (MDL2), dit second modèle, déporté sur un dispositif (SVR) externe au terminal (DVC), l’analyse par le second modèle (MDL2) étant réalisée en fonction du résultat de l’analyse par le premier modèle (MDL1). Procédé de gestion selon l’une des revendications 1 à 3, caractérisé en ce que le site cible (S1, S2, S3) comprend un formulaire comprenant au moins un champ à compléter, et en ce que l’action (ACT) relative à la navigation sur Internet du terminal (DVC) comprend l’effacement d’au moins une partie des champs de formulaires présents dans le site cible (S1, S2, S3). Procédé de gestion selon l’une des revendications 1 à 4, caractérisé en ce que la donnée (SCR) représentative d’un score de confiance relatif au site cible (S1, S2, S3) est complétée par une indication d’un site Internet distinct du site cible (S1, S2, S3). Procédé de gestion selon l’une des revendications 1 à 5 caractérisé en ce que le modèle prédictif (MDL) est enrichi avec les métriques (FTR) obtenues et d’autres informations relatives au site cible (S1, S2, S3). Entité de gestion (100) apte à réaliser un procédé de gestion de la navigation sur Internet d’un terminal (DVC) comprenant les modules suivants : Module (101) d’obtention de métriques (FTR) d’un site Internet (S1, S2, S3), dit site cible, vers lequel un accès est demandé par le terminal (DVC) ; Module (102) d’analyse des dites métriques (FTR) par un modèle prédictif (MDL) fournissant une donnée (SCR) représentative d’un score de confiance relatif au site cible (S1, S2, S3) ; Module (103) d’action (ACT) relative à la navigation sur Internet du terminal (DVC) en fonction de la donnée (SCR) représentative fournie par le modèle prédictif (MDL). Terminal (DVC) comprenant une entité de gestion (100) selon la revendication 7. Programme d'ordinateur apte à être mis en œuvre par une entité de gestion (100) selon la revendication 7, le programme comprenant des instructions de code qui, lorsqu’il est exécuté par un processeur, réalise les étapes du procédé de gestion selon la revendication 1. Support de données sur lequel est enregistré un programme d’ordinateur selon la revendication 9 comprenant des séquences d’instructions pour la mise en œuvre du procédé de gestion selon la revendication 1.