2026-10-13 · RECHERCHE · L'équipe Offensive Technology

Qu'est-ce qu'un WebSDR ? Nous en avons mesuré 221

En bref : un WebSDR est un récepteur radio appartenant à un tiers, connecté à Internet et mis à la disposition du public via une page de navigateur : choisissez une fréquence, cliquez, écoutez, sans compte, sans matériel, sans paiement. Ce nom recouvre trois logiciels distincts développés par trois projets différents, WebSDR-classic (l'original, University of Twente), KiwiSDR (un produit matériel spécifique, uniquement HF), et OpenWebRX (open source, souvent compatible VHF/UHF également), chacun avec son propre protocole réseau. Nous avons développé un client pour chacun des trois et mené une véritable campagne d'écoute de 48 heures sur un ensemble de 221 récepteurs publics découverts via leurs propres annuaires publics. Résultat : 18,002 messages décodés en mode numérique FT8, 8,823 indicatifs distincts, issus de 175 pays, et 58.5% des décodages résolus ont capté un contact bilatéral complet entre deux pays étrangers distincts, aucun des deux n'étant celui du récepteur. Tout cela via la simple fonctionnalité d'écoute publique, utilisée exactement telle que chaque opérateur la propose.

Pourquoi c'est important aujourd'hui

Recherchez aujourd'hui « what is a WebSDR » ou « public SDR receivers », et les résultats sont presque exclusivement des pages d'annuaires, des pages d'accueil de projets et des fils de forum datant d'il y a plusieurs années. Personne n'a publié de mesure chiffrée de ce à quoi ressemble réellement le réseau en direct aujourd'hui : combien de récepteurs sont réellement en ligne, quels protocoles ils utilisent et ce qui y transite sur un intervalle donné. Ce vide est la raison d'être de cet article.

Il ne s'agit pas non plus d'une simple curiosité d'amateur. Un article de 2024 évalué par des pairs dans Intelligence and National Security a étudié précisément le rôle de ce réseau en tant qu'infrastructure SIGINT informelle et participative pendant l'invasion de l'Ukraine par la Russie en 2022, où des communautés en ligne traitaient les interceptions WebSDR et évaluaient si ces renseignements étaient suffisamment crédibles pour être exploités par les services de sécurité étatiques. Le réseau public WebSDR n'est pas un jouet ; c'est du tradecraft qui se trouve être gratuit et légal d'utilisation pour n'importe qui, exactement le type de « capacité accidentelle » sur lequel nous aimons écrire.

WebSDR vs KiwiSDR vs OpenWebRX

Ces noms sont souvent utilisés de manière interchangeable en ligne, ce qui crée une réelle confusion, car les trois écosystèmes ne partagent aucun protocole et un client conçu pour l'un ne fonctionnera avec aucun des deux autres.

• WebSDR-classic est le projet d'origine (PA3FWM, University of Twente), avec son propre réseau d'opérateurs maintenu à la main. Son logiciel est architecturalement orienté HF avant tout, mais plusieurs installations couvrent des bandes plus larges.
• KiwiSDR est un produit associant matériel et firmware dédié. Il est strictement limité à 0–30 MHz (HF, MW, LW uniquement), architecturalement incapable d'écouter les fréquences VHF des satellites météo ou de l'ADS-B, quelles que soient les intentions de l'opérateur.
• OpenWebRX est un logiciel open source qui fonctionne sur du matériel SDR grand public (RTL-SDR, Airspy, SDRplay), et de nombreux déploiements couvrent effectivement la VHF/UHF, notamment les bandes radioamateurs 2m/70cm et parfois les liaisons descendantes de satellites météo, lorsque l'opérateur choisit d'exposer cette plage.

La découverte s'est fragmentée de la même manière. kiwisdr.com gère son propre annuaire, déclarant environ 850–875 récepteurs publics. L'ancien agrégateur universel, sdr.hu, a fermé en juin 2020 et reste cité à tort comme étant actif dans les résultats de recherche et les anciens articles de blog. Ne vous fiez à rien de ce qui renvoie vers lui. receiverbook.de a pris le relais pour combler ce manque et indexe désormais les trois écosystèmes ensemble ; c'était notre principale source de découverte. websdr.ewi.utwente.nl publie également son propre annuaire en direct, dédié au réseau WebSDR-classic.

Ce que nous avons réellement fait

Un sceptique devrait être en mesure de reproduire cela, voici donc l'intégralité du pipeline, exécuté depuis notre propre machine de lab, sans aucun tiers impliqué en dehors de la lecture des pages d'annuaires publics et de l'utilisation de la fonctionnalité d'écoute de chaque récepteur.

• Découverte. Scraping des listes KiwiSDR et OpenWebRX de receiverbook.de ainsi que du JSON de l'annuaire en direct de websdr.ewi.utwente.nl pour WebSDR-classic, les mêmes données que le navigateur de n'importe quel visiteur charge déjà pour alimenter les cartes et listes de ces sites. L'annuaire natif de kiwisdr.com était inaccessible depuis notre route réseau pendant toute la campagne (un problème de routage de notre côté, et non un constat sur le service) ; le miroir KiwiSDR de receiverbook.de a comblé ce manque.
• Trois clients, un pour chaque protocole. KiwiSDR : réutilisation du client open source kiwiclient. OpenWebRX : développé de zéro en analysant le code JavaScript fourni par une instance en direct, y compris son codec audio personnalisé ADPCM-with-sync. WebSDR-classic : client développé contre son flux public, validé au bit près par rapport à un décodeur de référence avant d'accorder notre confiance au moindre échantillon.
• Vérification, et non scan aveugle. Chaque récepteur candidat a été vérifié via son propre endpoint public de statut ou par un bref accord et test d'écoute réel avant d'être ajouté au pool actif, la même vérification que n'importe quel visiteur prudent effectuerait avant de commencer son écoute.
• La tâche d'écoute. Sur chaque récepteur actif, par rotation, nous nous sommes calés sur les fréquences d'appel standard en mode numérique FT8 de chaque bande radioamateur HF (7.074 MHz, 14.074 MHz, etc.), avons enregistré un court extrait et l'avons soumis à ft8_lib, un décodeur FT8 de référence open source, extrayant les indicatifs, les grid squares et les rapports de signal de tout trafic réel présent.
• Limite stricte, appliquée dans le code et pas seulement par principe. Bandes radioamateurs HF uniquement. Aucune fréquence de sécurité publique, de police, de pompiers, de secours médicaux ou d'autre réseau LMR n'a été réglée, recherchée ou décodée, peu importe ce qu'un annuaire pouvait lister. Aucun endpoint d'administration, de contrôle ou de configuration sur aucune instance n'a été touché.

Le taux de succès a fortement varié selon l'écosystème, et cet écart constitue en lui-même un résultat réel et reproductible, non un bruit d'échantillonnage :

Les listes de l'annuaire KiwiSDR sont obsolètes bien plus souvent que celles des deux autres : une entrée « présente dans l'annuaire » s'est fréquemment retrouvée hors ligne, protégée par mot de passe ou complètement déconnectée du réseau au moment où l'on tente d'y accéder. Le pool final de travail pour notre campagne de 48 heures comptait 221 récepteurs : 2 KiwiSDR, 139 OpenWebRX, 80 WebSDR-classic, interrogés selon une rotation régulière afin que l'ensemble du pool bénéficie d'un temps d'écoute réel, et pas seulement les premiers découverts.

Ce que 221 radios ouvertes ont réellement capté

Sur 48 heures (du 2026-10-06 11:52 UTC au 2026-10-08 11:57 UTC), 91 des 221 récepteurs du pool ont produit au moins un décodage FT8 réel. Au total :

• 18,002 messages FT8 décodés.
• 8,823 indicatifs distincts entendus, associés à un pays pour la totalité sauf 2.
• 175 pays distincts représentés.
• 58.5% des 17,846 décodages associables à un pays ont capté un échange complet entre deux stations situées dans deux pays différents, aucun des deux n'étant celui où se trouve le récepteur d'écoute, par exemple un récepteur installé dans un musée-bunker au Royaume-Uni captant une station espagnole en contact avec une station italienne.

L'activité s'est fortement concentrée sur les bandes HF basses, conformément aux prévisions liées aux conditions de propagation durant la période de la campagne : le 40m a concentré le plus grand volume de trafic (5,736 décodages), suivi du 20m (3,398) et du 80m (2,915), diminuant progressivement sur le 15m, 17m, 160m, 10m et 12m.

Un récepteur a réalisé la majeure partie du travail : sdr.gb0snb.com, un KiwiSDR hébergé au musée Kelvedon Hatch Secret Nuclear Bunker dans l'Essex, au Royaume-Uni, a représenté à lui seul 8,770 des 18,002 décodages, soit environ la moitié de toute la campagne, simplement en restant actif et joignable durant toute la période tandis que de nombreux autres candidats apparaissaient et disparaissaient. Le second plus actif, sdr.websdrmaasbree.nl aux Pays-Bas, en a enregistré 743.

Exemple concret : 13 pays en 15 secondes

Les chiffres sont convaincants, mais un extrait réel décodé l'est encore davantage. À partir d'un unique cycle FT8 de 15 secondes capté sur GB0SNB à 14.074 MHz, bande des 20 mètres, voici exactement ce qui a été reçu, sans modification :

Huit des neuf messages décodés à partir de cet unique extrait, deux d'entre eux ayant été tronqués ci-dessus pour des raisons d'espace ; parmi eux, des opérateurs d'au moins huit pays différents, audibles en clair, via un seul récepteur public gratuit, sans aucun équipement ni compte de notre côté au-delà d'un client équivalent à un navigateur communiquant avec le même endpoint d'écoute que le site met à disposition de chaque visiteur. Le FT8 ne comporte aucun chiffrement et repose sur un trafic aux spécifications ouvertes et publiques, son décodage est identique à ce que tout radioamateur licencié ou auditeur ondes courtes fait quotidiennement avec des logiciels gratuits comme WSJT-X.

Le seul véritable enjeu de sécurité : la backdoor de KiwiSDR

En juillet 2021, des chercheurs en sécurité ont révélé que le firmware de KiwiSDR intégrait, depuis environ 2017, un mot de passe administrateur codé en dur accordant un accès shell root complet à la machine sous-jacente, transmis en clair via du simple HTTP, présent à l'insu de l'ensemble des utilisateurs et sans leur consentement. Le créateur l'avait ajouté par commodité pour du support à distance informel, sans intention malveillante, mais cela signifiait que quiconque découvrait le mot de passe obtenait un shell root sur l'appareil derrière n'importe quel KiwiSDR public, et pas seulement le contrôle du réglage radio. Environ 600 instances publiques KiwiSDR étaient accessibles depuis Internet au moment de la divulgation ; un correctif a été publié le mois même, et la plupart des unités exposées ont effectué une mise à jour automatique en quelques semaines.

Il convient d'être précis sur la nature exacte de cet incident. Il s'agit d'un problème de supply chain lié au firmware, introduit par le fabricant, et non d'une mauvaise configuration de leurs déploiements par des opérateurs individuels, une distinction importante, car le réflexe naturel consiste à blâmer les centaines de passionnés qui exploitent ces récepteurs, or ce n'est pas ce qui s'est produit ici. À titre de comparaison, la version actuelle d'OpenWebRX intègre un paramètre explicite OPENWEBRX_ADMIN_ENABLED spécialement conçu pour qu'un opérateur exposé à Internet puisse désactiver totalement l'interface d'administration ; son existence constitue la reconnaissance par les mainteneurs qu'une interface d'administration exposée représente une classe de risque bien réelle, bien que nous n'ayons trouvé aucun incident documenté d'exploitation active dans la nature, contrairement à la backdoor de KiwiSDR. Nous avons également recherché des compilations publiées sur l'exposition de KiwiSDR ou OpenWebRX indexée par Shodan au-delà du cas de 2021 et n'en avons trouvé aucune, un véritable manque dans la littérature publique, qu'il convient de qualifier honnêtement de « non trouvé » et non de « n'existe pas ».

Ce que cela ne prouve pas

Des limites admises en toute franchise, car un chiffre sans ses nuances relève du marketing.

• Il s'agit d'une population basée sur le volontariat et l'auto-enregistrement, non d'un recensement à l'échelle d'Internet. Chaque récepteur de notre pool a fait le choix de s'inscrire dans un annuaire public. Nous n'émettons aucune prétention quant au nombre de récepteurs de type WebSDR existants qui n'ont jamais été inscrits dans le moindre annuaire.
• Le décompte des pays est attribué à l'indicatif, non au récepteur. « 175 pays entendus » signifie que des stations titulaires d'une licence issues de 175 pays étaient audibles quelque part au sein du pool, résolues par recherche standard du préfixe d'indicatif DXCC dans la base de données mondiale des radioamateurs ; cela n'indique rien sur l'emplacement d'hébergement des 221 récepteurs d'écoute eux-mêmes.
• Un protocole, une fenêtre d'observation. Nous avons mesuré spécifiquement le trafic en mode numérique FT8, car il est présent de manière fiable sur la HF en journée et permet de prouver que l'antenne d'un récepteur fonctionne réellement. Le trafic vocal (SSB) existe bel et bien mais se révèle beaucoup plus sporadique ; au cours de deux sessions distinctes consacrées à la recherche de SSB sur des récepteurs actifs, nous n'avons pas capté de contact vocal net, un résultat négatif réellement utile, mais qui ne prouve pas que le trafic vocal soit rare sur ce réseau en général, seulement qu'il est plus difficile à garantir sur une fenêtre courte et non planifiée.
• L'accessibilité depuis notre propre réseau ne constitue pas un constat sur le service. L'annuaire canonique de kiwisdr.com a systématiquement expiré (timeout) depuis le réseau de notre lab pour des raisons de routage sans rapport ; nous avons donc utilisé le miroir de receiverbook.de plutôt que d'affirmer à tort qu'il s'agissait d'une panne globale alors qu'elle nous était propre.

Comment écouter vous-même

Tout ce qui est présenté ici est accessible à tous, gratuitement, dès maintenant. Commencez sur receiverbook.de, filtrez par type et par bande, puis choisissez un récepteur indiqué comme actuellement actif. Ouvrez sa page, réglez-vous sur une bande radioamateur HF et, pour obtenir un signal quasi garanti confirmant que le récepteur fonctionne, essayez l'une des fréquences d'appel universelles du FT8 : 7.074 MHz (40m) ou 14.074 MHz (20m) en bande latérale supérieure (USB). Vous entendrez un ensemble caractéristique de tonalités courtes qui se chevauchent ; décodez-le vous-même gratuitement avec WSJT-X. Pour le réseau WebSDR-classic en particulier, le récepteur emblématique de websdr.ewi.utwente.nl à l'University of Twente constitue le point de départ de référence.

Pourquoi c'est important

Le réseau public WebSDR/KiwiSDR/OpenWebRX constitue une véritable infrastructure SIGINT ouverte, bien qu'accidentelle : des centaines de radios réelles, mises à disposition par leurs propriétaires à n'importe qui, sans autre autorisation requise que de se connecter. C'est une réalité remarquable sur l'Internet ouvert en 2026, et l'étude universitaire de 2024 sur son rôle dans la guerre en Ukraine démontre qu'il est déjà exploité de cette manière par ceux qui le prennent au sérieux. C'est également, à la lumière de la backdoor de 2021, un rappel que « public by design » et « secure by design » sont deux propriétés distinctes qui ne vont pas nécessairement de pair, un équipement conçu pour un type précis d'accès public s'étant avéré en offrir un autre auquel personne n'avait consenti. Nous avons mesuré ce que nous pouvions honnêtement mesurer, formulé clairement les limites de notre échantillon et nommé aucune instance d'opérateur comme exposée, car aucun des 221 récepteurs de cette campagne ne l'était.

Lectures recommandées

• Comment détecter le brouillage GPS : une méthode gratuite et reproductible
• Qu'est-ce qu'une surface d'attaque externe ?
• Sécurité des serveurs MCP distants : un recensement de 19,321 serveurs