Les nouvelles règles de Revolut entreront en vigueur le 23 décembre, et viennent glisser deux nouvelles clauses sur l’utilisation de l’application mobile. Désormais la néobanque interdira tous les smartphones qui ne respectent pas les règles.
Revolut veut des téléphones « sortis d’usine »
Revolut, revendique désormais huit millions de clients en France. Reste que ses nouvelles conditions générales imposent désormais que l’application tourne sur un appareil doté d’un système officiel, maintenu par son fabricant et tenu à jour. La version publiée sur le site de Revolut ne laisse pas de place au doute : il faut « utiliser le système d’exploitation d’origine de votre appareil, pris en charge par le fabricant ». Il faut aussi installer rapidement les mises à jour de sécurité et garder l’application dans sa dernière version.
Le passage le plus important arrive juste après. Revolut prévient que si l’on modifie le système d’exploitation ou les autorisations de sécurité de son téléphone, elle ne sera tenue responsable ni des failles de l’appareil, ni des pertes qui en découlent. Les clients qui refusent ces nouvelles règles n’auront pas d’autre choix que de clôturer leur compte sans frais d’ici au 23 décembre.
Pour l’immense majorité des utilisateurs, rien ne change. La plupart des smartphones répondent en effet aux critères de Revolut. Sont en revanche dans le viseur les téléphones rootés, les iPhone jailbreakés et tous ceux qui tournent sous une ROM alternative, de LineageOS à /e/OS en passant par CalyxOS ou GrapheneOS.
En pratique, la clause ne fait que graver dans le marbre ce que l’application applique déjà. Sur sa page d’aide, Revolut liste ses exigences d’intégrité : une appli téléchargée depuis une boutique officielle, un système à jour, un bootloader (le petit programme qui lance le système au démarrage) verrouillé, un firmware certifié sans ROM personnalisée et aucun accès root.
Un vieil Android passe, un Pixel blindé reste à la porte
Sur le papier, la logique se tient : une banque n’a aucune envie de voir ses clients se faire siphonner leur compte sur un téléphone trafiqué. Le problème, c’est que la méthode employée ne mesure pas vraiment la sécurité.
Revolut n’est pas un cas isolé. Microsoft a déployé cette année un blocage progressif de son application Authenticator sur les appareils rootés ou jailbreakés pour les comptes professionnels, et une bonne partie des applis bancaires s’appuient sur l’API Play Integrity de Google pour faire le tri. Pour les utilisateurs concernés, les options restent minoritaires. À moins de passer par l’écosystème de Google, nombres d’applications estiment désormais que votre smartphone n’est pas suffisamment sécurisé.
Le véritable enjeu se joue moins sur l’écran de blocage que sur le terrain juridique. En France, une banque doit rembourser les paiements non autorisés, sauf fraude du client ou négligence grave de sa part. En changeant ses conditions d’utilisation, Revolut se ménage un argument de poids le jour où un client piraté réclamera son argent.