article est en cours de rédaction
...
Le 8 mars 2021, France Inter a publié un article sur son site web https://www.franceinter.fr/justice/doctolib-le-chiffrement-des-donnees-incomplet affirmant que des données comme « les médecins consultés, la fréquence de rendez-vous et même parfois, le motif de ce rendez-vous » étaient confiées à Amazon Web Services, et étaient « en clair ». L'article de France Inter est plutôt fouilli, et on ne comprend pas vraiment de quoi il retourne, par manque de détails techniques et d'informations sur ce qui a été effectivement observé.

Pour rappel, Doctolib est une plateforme française privée qui met en relation médecins, praticiens, et patients, et qui doit donc traiter des données à caractère personnel médicales, données médicales dont l'actualité a montré qu'elles ne sont pas toujours bien sécurisées https://www.francetvinfo.fr/internet/securite-sur-internet/cyberattaques/sante-les-donnees-medicales-de-500-000-francais-piratees_4309377.html.
...
le certificat TLS est bien celui de Doctolib, mais l'adresse IP qui répond est une adresse IP de Cloudflare, ce qui veut très probablement dire que Doctolib a uploadé sa clef privée sur les serveurs de Cloudflare (qui sert ainsi de terminaison TLS), ce qui signifierait que Cloudflare peut lire les données « en clair », contrairement aux affirmations du président de Doctolib. Il est techniquement possible que Cloudflare ne serve qu'à faire proxy SNI, permettant ainsi à Doctolib d'effectuer la terminaison TLS (et rendre impossible la lecture des données par Cloudflare), mais la probabilité que cela soit le cas est faible, car cela enleverait une bonne partie de l'intérêt à utiliser Cloudflare.
Connu / https://twitter.com/MattRiMo/status/1369582562880937989
"
Julien a retweeté Matthieu Richard-Molard @MattRiMo · 16h
Doctolib: Rémy Grünblatt, docteur en informatique, donne "plutôt raison" à l'enquête de France Inter.
Citer le Tweet Rémy Grünblatt @rgrunbla · 9 mars
Effectivement, Doctolib envoie des données (ou plutôt méta-données) directement à amazon qui contiennent des informations sur l'état de santé du patient. Exemple ici avec le domaine https://events.data.doctolib.com/live, qui abrite un site derrière un certificat amazon, qui leake une recherche - 1 - 16 - 7
"