Canarytokens — le piège gratuit qui te prévient qu'on te fouille

Canarytokens est un service gratuit de détection d'intrusion, créé par la société de sécurité Thinkst, dont le code est open-source sur GitHub (dépôt thinkst/canarytokens, plus de 2 000 étoiles). L'idée tient en une phrase : tu génères un leurre — un document Word, un PDF, un lien web, une fausse clé AWS, un QR code, un dossier réseau — et tu le déposes au milieu de tes vrais fichiers. Personne n'a de raison légitime de l'ouvrir. Le jour où quelqu'un le fait, le leurre appelle discrètement le serveur Canarytokens, qui t'envoie une alerte avec l'adresse IP, l'horodatage et les métadonnées disponibles. C'est ce qu'on appelle un fil-piège (tripwire) : contrairement à un antivirus qui cherche des signatures, il ne produit quasiment pas de faux positifs, puisqu'un fichier appât n'a aucune raison d'être touché. La version hébergée sur canarytokens.org ne demande ni compte ni installation, et Thinkst indique qu'elle est gratuite et le restera. Pour un indépendant ou une petite structure sans équipe sécurité, c'est l'un des rares dispositifs de détection qui se met en place en quelques minutes et coûte zéro euro.

Quel problème les Canarytokens résolvent-ils ?

La plupart des intrusions ne se voient pas. Un accès non autorisé à un dossier partagé, une sauvegarde copiée, une clé d'API qui fuite dans un dépôt public : rien ne te prévient, et le délai moyen avant détection se compte souvent en semaines. Un Canarytoken renverse la logique — au lieu de surveiller tout, tu poses un appât unique et tu attends le signal.

Comment créer un Canarytoken ?

Aucune installation n'est nécessaire pour la version hébergée. Tu vas sur le site, tu choisis un type de leurre, tu indiques l'adresse mail à alerter et une note qui te rappellera où tu l'as posé, puis tu télécharges le fichier ou tu copies le lien généré.

1. Ouvrir https://canarytokens.org
2. Choisir le type (MS Word, PDF, URL web, clé AWS, QR code…)
3. Renseigner : e-mail d'alerte + memo (« serveur NAS / dossier compta »)
4. Télécharger le fichier ou copier l'URL
5. Le déposer là où un intrus irait fouiller

Où faut-il les poser ?

Aux endroits attirants et inutiles au quotidien : un fichier mots-de-passe-2026.docx dans le dossier partagé, un backup-clients.xlsx sur le NAS, une fausse clé AWS dans un fichier de configuration, un lien piégé dans une note interne. Le memo est essentiel : sans lui, tu recevras une alerte sans savoir quel appât a été déclenché.

Faut-il l'auto-héberger ?

Ce n'est pas obligatoire. La version publique suffit à la plupart des indépendants. Le dépôt GitHub permet toutefois d'installer ta propre instance si tu préfères que les alertes et les métadonnées ne transitent par aucun service externe.

FAQ

Canarytokens est-il payant ?

Non. Les tokens déployés via canarytokens.org sont gratuits, et Thinkst indique qu'ils le resteront. Le produit commercial de l'entreprise (les boîtiers Canary) est distinct et payant.

Est-ce légal de piéger des fichiers ?

Poser un leurre sur ton propre système et journaliser qui y accède relève de la détection d'intrusion classique. La prudence s'impose en revanche si tu diffuses un token en dehors de ton périmètre, car tu collectes alors des données sur des tiers — en cas de doute, limite-toi à tes propres machines et informe ton équipe.

Un attaquant peut-il repérer le piège ?

C'est possible pour un adversaire attentif, mais l'intérêt du dispositif est son coût nul : tu peux en poser plusieurs, de types différents, et il suffit qu'un seul soit touché pour être prévenu.

Quels types de tokens existent ?

La documentation officielle liste notamment les documents MS Word, MS Excel et PDF, les liens HTTP, les images web et SVG, les clés d'API AWS, les tokens DNS, les QR codes, les profils VPN WireGuard, les dossiers réseau Windows et les connexions Active Directory.