Détournement de podcast : comment protéger son flux RSS

Un podcasteur britannique arrête son émission faute de revenus. Quelques mois plus tard, elle publie à nouveau — avec sa voix, mais sans lui. L'affaire, rapportée fin octobre par le média spécialisé Podnews, est difficile à vérifier dans le détail. Elle a pourtant le mérite de poser une question que presque aucun producteur français ne se pose : à qui appartient réellement votre podcast ?

Ce que raconte l'affaire, et ce qu'on ne peut pas vérifier

Selon Podnews, qui s'appuie sur un épisode du podcast américain Hyperfixed, le compte de Sanderson Jones aurait été piraté. L'escroc aurait changé d'hébergeur, cloné la voix du producteur et publié sous son nom des épisodes qu'il n'a jamais enregistrés. Le podcast aurait généré 1 293 dollars chez son nouvel hébergeur, RSS.com, qui les aurait reversés à Jones et aidé à lui restituer son émission.

Trois réserves s'imposent avant d'aller plus loin. L'information ne repose que sur une seule source, et nous n'avons pas pu retrouver l'épisode d'origine. Aucune date de piratage n'est donnée. Enfin, Podnews signale lui-même que son rédacteur en chef est conseiller de RSS.com, l'hébergeur qui sort grandi de l'histoire.

Nous ne reprenons donc pas ce récit à notre compte. En revanche, le scénario qu'il décrit est techniquement possible, et il s'inscrit dans une tendance bien documentée : près d'un nouveau podcast sur trois est désormais généré par une intelligence artificielle, et les index en suppriment des dizaines de milliers chaque année. Reste à comprendre comment un tel détournement peut se produire — et comment s'en prémunir.

Pourquoi un podcast est structurellement vulnérable

Il faut comprendre une chose pour saisir le reste : Apple Podcasts, Spotify et les autres applications ne stockent pas vos épisodes. Elles lisent un fichier, le flux RSS, qui liste les épisodes et pointe vers les fichiers audio hébergés ailleurs.

Autrement dit, votre podcast n'existe pas sur les plateformes. Il existe à une adresse, et les plateformes vont la consulter. Celui qui contrôle cette adresse contrôle ce que des milliers d'abonnés reçoivent — sans qu'aucun d'eux n'ait à cliquer sur quoi que ce soit.

Le mécanisme du détournement

Le changement d'hébergeur repose sur une balise standard, <itunes:new-feed-url>, placée dans l'ancien flux pour indiquer la nouvelle adresse. Les plateformes la suivent automatiquement et basculent les abonnés. C'est le mécanisme légitime, celui que tout producteur utilise en migrant.

C'est aussi le vecteur. Quiconque obtient l'accès au compte d'hébergement peut déclarer une nouvelle adresse de flux et emporter l'audience avec lui. L'opération ne nécessite aucune compétence technique particulière : elle se fait depuis l'interface de l'hébergeur.

Les abonnés, eux, ne voient rien. Leur application continue de livrer les nouveaux épisodes du programme auquel ils se sont abonnés.

Les six vérifications à faire

Le point le plus négligé : à qui appartient l'adresse du flux

C'est la mesure la plus protectrice, et presque personne ne l'applique.

Par défaut, votre flux se trouve à une adresse de votre hébergeur, du type monhebergeur.com/feed/votre-podcast. Vous n'en êtes pas propriétaire. En cas de litige, de piratage, de fermeture du service ou simplement de désaccord commercial, vous dépendez entièrement de lui pour récupérer vos abonnés.

La plupart des hébergeurs permettent au contraire de servir le flux depuis un sous-domaine qui vous appartient, par exemple flux.monpodcast.fr. C'est cette adresse que les plateformes enregistrent, et c'est vous qui contrôlez où elle pointe, puisque vous contrôlez le domaine.

L'opération prend une heure. Elle transforme votre relation à votre hébergeur : vous cessez d'être locataire de votre propre audience.

Comment détecter un problème

Trois signaux doivent alerter.

• Une chute brutale des statistiques chez votre hébergeur, alors que le programme paraît normal sur les plateformes — signe classique que les abonnés ont été redirigés ailleurs.
• Un épisode que vous n'avez pas publié, ou une description modifiée.
• Un courriel de confirmation de changement d'adresse de flux, ou une notification de connexion inhabituelle.

Le premier est le plus fréquent et le plus mal interprété : beaucoup de producteurs l'attribuent à une baisse d'audience.

Que faire si cela arrive

Contactez d'abord votre hébergeur d'origine, qui dispose des journaux de connexion et peut annuler une redirection. Saisissez ensuite Apple et Spotify par leurs procédures de revendication de flux : les deux plateformes prévoient un parcours pour rétablir un propriétaire légitime, sur justificatifs.

Conservez vos preuves d'antériorité : factures d'hébergement, captures de votre tableau de bord, enregistrements sources. C'est ce qui fera la différence dans l'instruction du dossier.

L'essentiel

• Un podcast n'est pas hébergé par les plateformes : il existe à l'adresse de son flux RSS, que les applications consultent.
• Qui contrôle le compte d'hébergement peut rediriger le flux et emporter les abonnés, sans que ceux-ci s'en aperçoivent.
• La double authentification sur le compte d'hébergement et sur l'adresse e-mail associée est la première protection.
• Servir son flux depuis un sous-domaine que l'on possède est la mesure la plus efficace, et la plus rarement appliquée.
• Une chute brutale des statistiques sans baisse apparente d'audience est le signal d'alerte le plus courant.
• Apple et Spotify prévoient des procédures de revendication de flux sur justificatifs.