Strava peut cacher votre domicile. Des chercheurs l'ont retrouvé

En 2023, quelques heures avant que Joe Biden n'arrive à l'hôtel de San Francisco où il séjournait pour des discussions avec le président chinois Xi Jinping, l'un de ses agents du Secret Service est parti courir depuis cet hôtel et a enregistré son parcours sur Strava. C'est le journal français Le Monde qui a retrouvé cette sortie, a rapporté l'Associated Press, en suivant les profils Strava publics de 26 agents du Secret Service, de 12 membres du groupe de sécurité de la présidence française et de six membres du Service fédéral de protection russe.

Rien d'inhabituel dans ces sorties. Strava montre par défaut les activités d'un adulte à tout le monde, tant que le réglage n'est pas modifié, et le lieu d'où part sans cesse un parcours est souvent un domicile ou un lieu de travail. Strava propose bien des moyens de masquer le début et la fin d'un parcours. Ce guide examine ce qui s'est passé quand des chercheurs ont tenté de voir à travers, ce que la carte de chaleur de Strava peut trahir, et quels réglages gardent réellement votre adresse hors de la carte.

Strava affirme compter plus de 195 millions d'athlètes dans plus de 185 pays, et son centre d'aide énumère les réglages de confidentialité par défaut de tout nouveau compte adulte. Le profil, les activités et les activités de groupe sont visibles par Tout le monde (« Everyone » en anglais). Flyby, qui rejoue votre activité à côté de celles d'autres personnes à proximité, est réglé sur Personne (« No One »). La visibilité de la carte (« Map Visibility ») masque les 200 premiers et derniers mètres des cartes d'activité futures.

Une activité publique montre le parcours sur une carte, le moment où elle a eu lieu et la distance parcourue. Une activité, c'est un trait ; quelques mois d'activités, c'est une routine, avec un point de départ qui ne bouge presque pas. Les comptes ouverts par des moins de 18 ans démarrent avec des réglages plus stricts, détaillés plus bas.

La carte de chaleur publiée par Strava en novembre 2017 représentait un milliard d'activités, soit plus de 3 000 milliards de points GPS selon l'entreprise, sous forme de lignes lumineuses sur fond sombre. En janvier 2018, Nathan Ruser, analyste à l'Institute for United Conflict Analysts, a fait remarquer que les bases américaines étaient « clairement identifiables et cartographiables ». En Afghanistan, à Djibouti et en Syrie, a rapporté le Guardian, les utilisateurs de Strava semblaient être presque tous des militaires étrangers, si bien que les bases ressortaient. En zoomant sur une grande base, on voyait son plan intérieur, dessiné par les parcours de jogging des soldats.

L'enquête du Monde en 2024 s'est appuyée, elle, sur des profils individuels. En suivant les sorties des gardes du corps d'Emmanuel Macron, le journal a situé le président français à Honfleur lors d'un week-end privé de 2021 qui ne figurait pas à son agenda officiel. De son côté, le Secret Service américain a déclaré au Monde : « Nous n'estimons pas qu'il y ait eu d'impact sur les opérations de protection ni de menace pour les personnes protégées. »

En juillet 2025, ce fut le tour de la Suède. Le quotidien Dagens Nyheter a rapporté, selon NBC News, que sept membres du service de sécurité du pays avaient partagé des sorties de course et de vélo qui révélaient les vacances privées de la famille royale. Les articles précédents du journal avaient établi que les données d'entraînement des gardes du corps avaient exposé des détails sur le Premier ministre Ulf Kristersson à au moins 35 reprises, dont ses parcours de course, ses déplacements à l'étranger et son adresse privée. Strava a déclaré à NBC News qu'il n'y avait eu ni fuite ni violation de données d'utilisateurs, et que l'entreprise attend des utilisateurs de professions sensibles qu'ils utilisent les réglages de confidentialité disponibles.

Dans aucun de ces cas Strava n'a été piraté. Les activités étaient publiques, et les lieux de départ ont fait le reste.

La version du quotidien, c'est le vol de vélos. En 2015, Mark Leigh, cycliste à Failsworth, près de Manchester, a raconté au Manchester Evening News que son garage avait été cambriolé le matin suivant une sortie enregistrée sur Strava, et que ses deux vélos, d'une valeur de 500 £ et de 1 000 £, avaient disparu. Rien d'autre n'avait été volé, et il pensait que les voleurs l'avaient trouvé grâce à l'appli. Il ne connaissait pas le réglage permettant de masquer son domicile, a rapporté The Register.

Des chercheurs ont testé ce genre de réglage plus d'une fois. En 2022, une équipe de la KU Leuven, en Belgique, a étudié les zones de confidentialité de Strava : des cercles autour d'une adresse protégée, à l'intérieur desquels un parcours est caché aux autres. Leur attaque reposait sur trois éléments visibles par tous : le plan des rues, les points où un parcours entrait dans le cercle masqué, et les distances affichées, qui comptaient encore le tronçon caché. Sur plusieurs activités, ils cherchaient l'endroit du réseau routier qui collait le mieux à toutes ces distances.

« Parmi les 1,4 million d'activités Strava que nous avons analysées, nous avons pu retrouver jusqu'à 85 % des lieux masqués malgré tout, uniquement grâce aux données supplémentaires accessibles publiquement », a déclaré le chercheur Victor Le Pochat. Ce chiffre concernait des zones de 200 mètres, la taille choisie par la plupart des utilisateurs de Strava. Des zones plus grandes ont aidé sans régler le problème : le taux de réussite était de 55 % à 1 km, et de 39 % à 1,6 km, la plus grande taille alors proposée par Strava.

Strava a modifié la fonctionnalité depuis. La visibilité de la carte peut désormais masquer la zone autour d'une adresse, masquer le début et la fin de chaque activité où qu'elle ait lieu, ou masquer la carte entière, et les nouveaux comptes adultes ont 200 mètres masqués à chaque extrémité par défaut. L'article de la KU Leuven évoquait le masquage d'une distance fixe à chaque extrémité, que Strava venait d'introduire, et concluait qu'il ne rendait qu'une étape de l'attaque moins fiable : les points de coupure et les distances restaient disponibles pour la prédiction.

La page d'aide de Strava elle-même est franche sur la limite. Masquer une partie d'une carte, dit-elle, « ne signifie pas qu'il serait impossible pour quelqu'un de déduire un lieu masqué à l'aide d'informations supplémentaires », et elle renvoie ceux qui ne veulent aucune carte à l'option qui la masque entièrement. Strava a aussi déclaré à Cycling Weekly en 2023 qu'il n'y avait eu « aucune fuite ni cyberattaque concernant Strava ou les données de notre communauté dans le cadre de cette recherche ». Les chercheurs n'ont jamais dit le contraire : leur méthode n'utilisait que ce que l'appli montrait publiquement, une fuite du même genre que celles que des chercheurs ont trouvées dans les applis de rencontre.

« Dans une zone densément peuplée, avec beaucoup de parcours et beaucoup d'utilisateurs, il y a tant de données qu'il serait extrêmement difficile de suivre une personne précise », a déclaré Anupam Das, auteur principal de l'étude. « En revanche, dans les zones où il y a peu d'utilisateurs ou peu de parcours, cela devient un simple processus d'élimination », en particulier pour un utilisateur très actif. Son équipe a repéré 143 799 points d'intérêt sur la carte de chaleur et rapproché 11 165 utilisateurs de Strava des listes électorales pour vérifier ses hypothèses.

Le volet recherche était tout aussi simple. Les chercheurs retrouvaient des utilisateurs grâce à la ville indiquée dans leur profil, et à l'époque, même les comptes réglés sur abonnés seulement apparaissaient dans cette recherche. Les utilisateurs qui avaient laissé leur ville vide ne pouvaient pas être trouvés de cette façon.

Les règles actuelles de Strava comblent une partie de cet écart. Son centre d'aide indique que la Global Heatmap montre l'activité de la dernière année, mise à jour chaque mois, et exclut les activités qui ne sont pas réglées sur Tout le monde, les portions masquées par les réglages de visibilité de la carte et les activités des personnes qui se sont exclues. Aucune chaleur n'apparaît dans une zone tant que plusieurs utilisateurs n'y ont pas été actifs.

1. Step 1Réservez vos activités à vos abonnésDans l'app, ouvrez l'onglet Vous, touchez l'icône des réglages, puis Contrôles de confidentialité (« Privacy Controls » en anglais), et réglez Activités sur Abonnés, ou sur Vous uniquement pour les sorties que vous gardez pour vous. Réglez aussi Profil sur Abonnés : les gens doivent alors demander à vous suivre et attendre votre approbation ; Strava indique que cela empêche aussi les moteurs de recherche d'indexer votre profil. Les inconnus ne voient alors aucun parcours.
2. Step 2Masquez l'adresse de votre domicileDans Contrôles de confidentialité > Visibilité de la carte, saisissez votre adresse. Strava masque alors la portion de toute activité passée ou future qui commence ou se termine à proximité, et vous choisissez l'ampleur, jusqu'à un mile (environ 1,6 km). Ajoutez aussi votre travail, votre école ou le domicile d'un partenaire, et choisissez une grande distance : « Plus c'est grand, mieux c'est », a dit Karel Dhondt, chercheur à la KU Leuven.
3. Step 3Masquez le début et la fin de toutLa deuxième option de visibilité de la carte masque le début et la fin de toutes les activités futures, où qu'elles commencent : un hôtel, l'appartement d'un ami ou une nouvelle adresse que vous avez oublié d'ajouter. La valeur par défaut est de 200 mètres ; une distance plus longue masque davantage. Pour n'afficher aucune carte, la troisième option masque la carte entière.
4. Step 4Partez et arrivez ailleursLes chercheurs de la KU Leuven conseillent aussi de varier le départ et l'arrivée. Marchez quelques minutes avant de lancer l'enregistrement, et arrêtez-le avant de tourner dans votre rue. Une zone masquée ne peut pas trahir une porte que le parcours n'atteint jamais.
5. Step 5Excluez-vous de la carte de chaleurDans Contrôles de confidentialité, désactivez le réglage qui verse vos données aux fonctions agrégées de Strava : Améliorations du produit (« Product Improvements ») dans les pages d'aide actuelles de Strava, appelé utilisation des données agrégées dans les plus anciennes. Strava indique que les données des personnes exclues sont écartées de la Global Heatmap et de Strava Metro.
6. Step 6Vérifiez ce que dit votre profilL'équipe de NC State a trouvé des utilisateurs en cherchant tous ceux qui indiquaient une ville donnée. Laissez la ville hors de votre profil, ou restez vague.
7. Step 7Laissez Flyby désactivéFlyby est désactivé par défaut et n'inclut que les activités visibles par Tout le monde. Si vous l'avez activé, envisagez de le désactiver à nouveau.

Les nouveaux abonnés doivent aussi demander une approbation au préalable, et c'est là que les parents interviennent. Une séance de club ou un trajet jusqu'à l'école qui part de la maison montre le même schéma à chaque abonné approuvé : regardez donc qui ils sont et ajoutez l'adresse du domicile dans la visibilité de la carte. Les activités d'un adolescent relèvent de la même discussion que ce que les photos d'un enfant disent aux inconnus.

Les zones différaient aussi. Strava proposait des cercles de 200 mètres à 1,6 km et Garmin Connect de 100 mètres à 1 km, tandis que Komoot utilisait une zone de forme aléatoire plutôt qu'un cercle, ce qui, notent les chercheurs, la rend plus difficile à deviner. Quelle que soit l'appli, le premier réglage à modifier est celui qui rend les activités publiques.

Une carte masquée ne cache que la ligne. Supprimer les données EXIF retire les coordonnées du fichier, et un seul selfie peut révéler où vous habitez énumère les indices que capte un appareil photo : numéros de porte, plaques de rue, vue depuis une fenêtre. Des photos prises du même coin, semaine après semaine, dessinent le genre de schéma décrit dans les risques des métadonnées de photo pour la vie privée.

Strava place aussi des photos. Les nouveaux comptes adultes démarrent avec Photos publiques sur les itinéraires activé : les photos d'activités publiques peuvent donc apparaître sur les itinéraires communautaires de Strava, sans lien avec votre compte. Les photos prises dans une adresse que vous avez masquée sont écartées, et le réglage peut être désactivé dans Contrôles de confidentialité.

L'analyse de photos sur geospys.com fait partie de GeoSpy Premium : 7,99 dollars américains par semaine ou 29,99 dollars américains par an (prendre l'offre annuelle), illimitée dans le cadre d'un usage raisonnable et résiliable à tout moment. Elle estime une ville et un pays, pas une adresse. L'app GeoSpy pour iPhone propose un essai gratuit.