Avant d'ouvrir un installateur, trois contrôles suffisent : vérifier qui l'a signé, comparer son empreinte quand l'éditeur la publie, et choisir l'installation personnalisée. Le fichier est arrivé, il porte le bon nom, il pèse à peu près ce qu'on attendait ; ces vérifications prennent moins d'une minute et évitent l'essentiel des mauvaises surprises.
Lire qui a signé
Un installateur légitime est signé par son éditeur, et cette signature se lit sans outil particulier : sur Windows, un clic droit sur le fichier, puis Propriétés, ouvre un onglet « Signatures numériques » qui affiche le nom du signataire et la validité du certificat. Si cet onglet n'existe pas, le fichier n'est pas signé. Sur macOS, le système refuse par défaut d'ouvrir une application dont le développeur n'est pas identifié, et l'avertissement qui s'affiche alors n'est pas une formalité à contourner. Un logiciel connu dont l'installateur n'est pas signé, ou signé par un nom qui n'a rien à voir avec l'éditeur, est un signal suffisant pour s'arrêter.
Comparer l'empreinte quand elle est publiée
Certains éditeurs publient à côté du lien une longue suite de caractères, l'empreinte du fichier. Recalculer cette empreinte sur le fichier reçu et la comparer prouve qu'il est arrivé intact et qu'il n'a pas été substitué en route. La manipulation tient en une commande sur les trois systèmes : Get-FileHash dans PowerShell sous Windows, shasum dans le Terminal de macOS, l'utilitaire de hachage du même nom que l'algorithme sous Linux. Il suffit de choisir l'algorithme indiqué par l'éditeur, puis de comparer les premiers et les derniers caractères des deux suites. Elle ne sert pas à grand-chose sur un petit utilitaire, elle prend tout son sens sur un outil qui manipule des données sensibles ou qui s'installe avec des privilèges élevés.
Refuser l'installation rapide
C'est le contrôle le plus rentable, et le plus souvent négligé. L'option d'installation personnalisée affiche ce que l'option rapide accepte à votre place : barre d'outils, moteur de recherche imposé, logiciel compagnon, lancement au démarrage. Ces ajouts ne sont pas des maliciels, mais ils sont rarement souhaités, et les décocher après coup demande bien plus de temps que de les refuser une fois. Un installateur qui ne propose aucune option détaillée mérite d'ailleurs qu'on se demande pourquoi.
Préférer la source de l'éditeur
Un même logiciel peut circuler sous des dizaines d'adresses. Le fichier de l'éditeur est celui qui porte sa signature et son empreinte ; les autres versions, même honnêtes, sont impossibles à vérifier avec la même certitude. C'est pourquoi nos fiches renvoient au téléchargement d'origine plutôt que d'héberger les fichiers, comme l'explique notre présentation. Avant même de télécharger, un coup d'œil à la compatibilité du logiciel avec votre système évite de récupérer une version qui ne s'installera pas.
Signature absente ou empreinte différente : la conduite à tenir
Une empreinte qui ne correspond pas ne se discute pas : on supprime le fichier et on le télécharge de nouveau depuis la page de l'éditeur, jamais depuis un miroir trouvé à côté. Si la seconde copie diffère encore, mieux vaut prévenir l'éditeur que passer outre. Une signature absente sur un petit projet libre peut être normale ; sur un logiciel commercial, elle ne l'est pas. Et si Windows bloque l'exécution d'un fichier pourtant authentique, le déblocage d'un logiciel bloqué à l'installation se fait sans désactiver la protection du système.
Après l'installation
Ouvrir la liste des programmes qui se lancent au démarrage. C'est là qu'apparaissent les compagnons acceptés sans le vouloir, et c'est le seul endroit où on les voit tous d'un coup, quel que soit le site de téléchargement employé.
