Faux positifs : quand l'antivirus bloque un logiciel sain

Un faux positif est une alerte erronée : l’antivirus bloque un fichier sain parce qu’il lui attribue à tort un comportement ou une réputation suspecte. Cela arrive même avec des produits bien classés. Au cycle AV-TEST d’août 2026, Norton 360 versions 26.6 et 26.7 obtient 6 sur 6 en Usability, avec aucune fausse détection recensée sur les fichiers légitimes de cette campagne. Ce bon résultat ne rend pas toute alerte impossible : il décrit un produit, une version et une période de test.

Le bon réflexe n’est donc ni d’ignorer l’avertissement, ni de désactiver l’antivirus. Il consiste à conserver le fichier isolé, à vérifier d’où il vient et à regarder si l’alerte paraît cohérente avec son usage. Les comparatifs de laboratoires aident aussi à distinguer les produits qui protègent bien sans multiplier les blocages inutiles.

Un fichier sain peut ressembler à une menace

Les antivirus ne se limitent pas à reconnaître des menaces déjà connues. Ils examinent aussi des caractéristiques et des comportements : un programme qui modifie des paramètres système, lance des commandes, s’installe automatiquement ou agit sur d’autres logiciels peut attirer leur attention. Or ces actions peuvent être normales pour un outil d’administration, un installateur, un logiciel de développement ou une application récente.

Un programme peu diffusé peut également être moins bien identifié qu’un logiciel largement utilisé. Sa rareté, la manière dont il est empaqueté ou une mise à jour inhabituelle peuvent déclencher une détection. Ce n’est pas une preuve d’innocuité, mais ce n’est pas non plus une preuve que l’éditeur du programme distribue un malware.

Pour la personne concernée, la conséquence est immédiate : une installation refuse de se lancer, une mise à jour disparaît en quarantaine, ou une application habituelle cesse de fonctionner. La gêne peut être plus grande qu’un simple message, notamment lorsqu’un fichier nécessaire au travail ou à un usage familial est bloqué.

Quelques indices doivent inciter à ralentir avant de restaurer un fichier :

• le fichier a été téléchargé depuis une source inconnue, une archive partagée ou un message inattendu ;
• l’alerte concerne un programme dont vous n’attendiez pas l’installation ;
• le nom du fichier, son emplacement ou l’éditeur affiché ne correspondent pas au logiciel recherché ;
• le blocage survient juste après une mise à jour de l’antivirus ou du programme concerné.

Ces indices ne remplacent pas une vérification. Ils évitent surtout de traiter une alerte comme un simple désagrément.

Les laboratoires mesurent aussi les blocages injustifiés

Les faux positifs ne sont pas toujours présentés de la même manière. AV-TEST les intègre à la catégorie Usability, avec les avertissements ou blocages sur des fichiers, logiciels et sites légitimes. Dans son cycle Windows 11 d’août 2026, réalisé sur la période juillet-août 2026, chaque catégorie est notée sur 6. Le seuil Top Product est fixé à 17,5 sur 18. Les résultats doivent être rattachés au produit et aux versions indiquées dans la campagne.

Le détail du rapport Norton 360 versions 26.6 et 26.7 est parlant : AV-TEST y relève aucune fausse détection parmi 1 010 195 fichiers légitimes analysés, ainsi qu’aucun faux avertissement lors de 500 visites de sites. Ce résultat concerne la campagne précise et ne préjuge pas du comportement de toutes les versions futures. La méthodologie et les rapports du cycle sont consultables chez AV-TEST.

AV-Comparatives publie plus directement le nombre de faux positifs. Son Malware Protection Test de septembre 2026 repose sur 10 000 échantillons malveillants, tandis que son Real-World Protection Test de février à mai 2026 emploie 400 cas par produit. Dans ce dernier rapport, un astérisque après un award signale que le classement a été abaissé à cause des fausses alertes. Cette pénalité rappelle qu’un blocage injustifié est un défaut de sécurité pratique, pas seulement un désagrément.

SE Labs emploie une autre lecture : la Legitimate Accuracy mesure le traitement des objets légitimes, tandis que la Total Accuracy combine cette dimension avec la protection contre les attaques. Son test Home Anti-Malware d’avril à juin 2026 confronte les produits à des menaces publiques, à des attaques ciblées et à des objets légitimes. Le laboratoire pondère davantage un blocage complet qu’une éviction tardive.

Les méthodes ne sont donc pas interchangeables. AV-TEST répond à une question d’usage global, AV-Comparatives permet de repérer plus facilement les détections erronées publiées campagne par campagne, et SE Labs montre la place des objets légitimes dans l’exactitude totale.

Un faible nombre de faux positifs dans une campagne ne garantit pas qu’un logiciel précis ne sera jamais bloqué chez vous. En revanche, des faux positifs nombreux ou répétés dans plusieurs rapports sont un signal à prendre en compte avant un renouvellement.

Le tableau de bord à lire avant de comparer les produits

Le tableau suivant rassemble des indicateurs publiés par les laboratoires et le bilan annuel d’AV-Comparatives. Il ne crée pas de note maison : chaque ligne conserve sa méthode, sa période et son périmètre. Les résultats ont été relevés le 6 novembre 2026.

Source et période	Produit ou bilan	Indicateur de faux positifs	Lecture utile
AV-TEST, cycle d’août 2026	Norton 360 versions 26.6 et 26.7	Usability 6 sur 6 ; aucune fausse détection sur 1 010 195 fichiers légitimes et aucun faux avertissement sur 500 visites	Mesure détaillée des alertes sur fichiers et sites légitimes
AV-Comparatives, Malware Protection Test de septembre 2026	Bitdefender	1 faux positif ; award Advanced+	Une protection de 99,98 % peut s’accompagner de très peu de blocages erronés
AV-Comparatives, Malware Protection Test de septembre 2026	McAfee, Malwarebytes, Sophos et Panda	Respectivement 36, 32, 49 et 91 faux positifs	Un taux de protection élevé ne suffit pas à décrire le confort d’utilisation
AV-Comparatives, Real-World Protection Test de février à mai 2026	Malwarebytes et Panda	Respectivement 39 et 27 faux positifs ; awards Standard* et Tested*	L’astérisque indique un award abaissé en raison des fausses alertes
SE Labs, Home Anti-Malware d’avril à juin 2026	Malwarebytes Premium	Protection Accuracy 98 %, Legitimate Accuracy 92 %, Total Accuracy 94 %	La protection et le traitement des fichiers légitimes sont évalués séparément
AV-Comparatives, Consumer Summary Report 2025	Kaspersky, Total Defense et Bitdefender	Respectivement 9, 12 et 19 faux positifs cumulés	Le bilan annuel apporte une vue plus longue, sans remplacer les campagnes récentes

Le rapport de septembre 2026 illustre bien l’écart possible entre sécurité et fausses alertes. Bitdefender y affiche 99,98 % de protection avec 1 faux positif. McAfee atteint 99,97 % avec 36 faux positifs. Malwarebytes atteint 99,65 % avec 32 faux positifs, Sophos 99,83 % avec 49, et Panda 98,39 % avec 91. Il ne s’agit pas de dire qu’un produit est inutilisable à partir d’un seuil arbitraire : les résultats montrent plutôt pourquoi le seul taux de protection ne suffit pas.

Une protection élevée peut coûter en tranquillité

Panda constitue un cas clair dans le Malware Protection Test d’AV-Comparatives de septembre 2026 : sa protection est mesurée à 98,39 %, mais le rapport compte 91 faux positifs et attribue l’award Tested. Un lecteur qui se limiterait au pourcentage de protection manquerait cette autre partie du résultat, pourtant visible au quotidien lorsqu’un programme connu est refusé.

Sophos atteint 99,83 % de protection dans cette même campagne, avec 49 faux positifs et l’award Tested. Malwarebytes affiche 99,65 %, 32 faux positifs et l’award Tested. McAfee obtient 99,97 %, mais 36 faux positifs et l’award Standard. Ces chiffres ne portent pas sur le même type d’usage que le rapport SE Labs, ni sur le même jeu de fichiers. Ils décrivent néanmoins une tension concrète : un moteur peut être sévère face à des éléments suspects et se montrer trop sévère face à certains éléments légitimes.

Le Real-World Protection Test d’AV-Comparatives de février à mai 2026 confirme que les fausses alertes pèsent sur l’award final. Malwarebytes y bloque 395 cas sur 400, affiche 39 faux positifs et reçoit Standard*. Panda bloque 386 cas sur 400, avec 27 faux positifs et Tested*. G Data reçoit aussi Standard* avec 14 faux positifs. L’astérisque ne veut pas dire que le produit ne protège pas ; il indique précisément que les faux positifs ont dégradé l’award.

Le rapport est disponible sur la page du Real-World Protection Test d’AV-Comparatives. Lire le décompte des fausses alertes à côté de l’award évite de confondre un résultat de blocage pur avec une expérience d’utilisation équilibrée.

Une alerte isolée n’est pas une tendance durable

Les campagnes de laboratoires sont des photographies datées. Une mise à jour peut corriger une détection excessive, mais aussi en introduire une. Il faut donc privilégier les résultats récents, regarder plusieurs campagnes lorsqu’elles existent, et vérifier que le produit comparé correspond réellement à celui installé sur l’ordinateur.

Le Consumer Summary Report 2025 d’AV-Comparatives apporte un recul annuel. Il attribue la médaille Or de la catégorie faux positifs à Kaspersky, l’Argent à Total Defense et le Bronze à Bitdefender. Dans le cumul publié pour 2025, Kaspersky compte 9 faux positifs, Total Defense 12 et Bitdefender 19. Ce bilan ne permet pas de prédire une alerte donnée, mais il complète utilement une campagne isolée.

À l’inverse, un très bon résultat d’Usability chez AV-TEST ne permet pas d’effacer les données d’AV-Comparatives ou de SE Labs. Microsoft Defender Antivirus version 4.18 reçoit 6 sur 6 en Usability au cycle AV-TEST d’août 2026, alors que son résultat de Performance est de 5,5 sur 6. Le même cycle donne 6 sur 6 en Usability à Avast Free Antivirus version 26.6, AVG Antivirus Free versions 26.6 et 26.7, Bitdefender Total Security version 27.0, ESET Security Ultimate versions 19.1 et 19.2, Kaspersky Premium versions 21.24 et 21.25, Malwarebytes Premium versions 5.5 et 5.6, McAfee Total Protection version 1.39, Norton 360 versions 26.6 et 26.7, ainsi qu’à TotalAV versions 6.6 et 6.7.

Pour interpréter ces écarts, la page consacrée aux tests antivirus des laboratoires détaille les approches d’AV-TEST, d’AV-Comparatives et de SE Labs. Elle aide à éviter de transformer une mesure de faux positifs en classement définitif.

Quand un fichier de confiance part en quarantaine

La quarantaine est le point de départ le plus prudent. Le fichier est isolé au lieu d’être exécuté, ce qui laisse le temps de comprendre l’alerte. Prenez note du nom affiché, de son emplacement, de la détection signalée et du logiciel qui l’a produit. Si le fichier provient d’un téléchargement inattendu ou d’une source inconnue, le supprimer est généralement plus raisonnable que de chercher à l’autoriser.

Si le fichier vient bien du site officiel de son éditeur, vérifiez que le téléchargement correspond au programme attendu. Une mise à jour reçue depuis l’application elle-même n’a pas le même contexte qu’un exécutable trouvé dans une archive ou dans un message. Le contexte compte autant que le message d’alerte.

Pour une seconde lecture, un service d’analyse multi-moteurs en ligne comme VirusTotal peut donner des indications complémentaires. N’y envoyez pas un document confidentiel, un fichier professionnel sensible ou des données personnelles : ce type de service n’est pas conçu pour traiter des contenus privés. Une détection isolée mérite d’être interprétée avec prudence ; plusieurs détections concordantes invitent à ne pas restaurer le fichier.

Voici une marche à suivre raisonnable avant toute restauration :

• laissez le fichier en quarantaine et ne tentez pas de l’exécuter à nouveau ;
• contrôlez son origine, le nom de l’éditeur et le moment où il est apparu sur l’ordinateur ;
• utilisez une analyse multi-moteurs pour un fichier qui ne contient pas de données sensibles ;
• signalez le possible faux positif à l’éditeur de l’antivirus, puis informez l’éditeur du logiciel bloqué ;
• restaurez le fichier seulement lorsque son origine et son innocuité sont établies.

Cette procédure ne promet pas qu’une alerte est fausse. Elle évite surtout de passer d’un doute légitime à une autorisation irréversible en quelques secondes.

Exclure un dossier entier ouvre une zone aveugle

Une exclusion demande à l’antivirus de ne plus examiner un fichier, un type d’emplacement ou un dossier. Elle peut dépanner lorsqu’un outil légitime est bloqué à répétition, mais elle réduit aussi la surveillance. Un dossier qui paraît sûr aujourd’hui peut recevoir plus tard un fichier malveillant, un installateur compromis ou une pièce jointe déplacée par erreur.

Le risque est particulièrement net avec les dossiers de téléchargements, d’archives ou de logiciels partagés : y placer une exclusion globale revient à retirer un contrôle là où de nouveaux fichiers arrivent fréquemment. Restaurer un programme de confiance et exclure durablement tout son dossier sont deux décisions très différentes.

Si une exception est réellement nécessaire, gardez-la aussi étroite que possible :

• limitez-la au fichier concerné plutôt qu’à un dossier complet ;
• retirez-la après une mise à jour de l’antivirus ou du logiciel bloqué ;
• réexaminez-la si le programme change, est déplacé ou se met à demander des autorisations inhabituelles.

Une exclusion ne corrige pas un faux positif. Elle contourne l’alerte, parfois au prix d’une protection diminuée.

Faire entrer les faux positifs dans le choix d’un antivirus

Les faux positifs font partie du confort réel d’un antivirus. Ils peuvent interrompre une installation, multiplier les demandes de confirmation ou pousser l’utilisateur à désactiver une protection qu’il juge trop intrusive. Un produit qui bloque bien les menaces mais perturbe souvent les logiciels légitimes peut devenir difficile à utiliser correctement.

La performance mérite aussi d’être lue à côté de l’Usability. Un antivirus qui gêne un programme par une fausse détection et ralentit certaines opérations peut être perçu comme doublement contraignant. Les résultats et les limites de cette autre mesure sont expliqués dans notre article sur le ralentissement causé par un antivirus.

Au moment de comparer les formules, ne retenez pas seulement un nom connu ou la promesse de protection. Consultez les résultats récents du produit exact, relevez la présence éventuelle d’un astérisque dans les awards d’AV-Comparatives, et regardez les mesures d’objets légitimes chez SE Labs. Le rapport Home Anti-Malware d’avril à juin 2026 est disponible chez SE Labs.

La sélection du meilleur antivirus payant selon les usages permet ensuite de remettre ces résultats dans le contexte d’un abonnement, sans confondre protection, faux positifs, fonctions incluses et conditions de renouvellement.

Garder une protection active sans accepter chaque alerte

Une fausse alerte peut être frustrante, mais elle ne justifie pas de désactiver durablement la protection en temps réel. Laisser l’antivirus actif tout en gardant un fichier en quarantaine préserve une marge de sécurité pendant la vérification. Si les alertes injustifiées se répètent après des mises à jour, le signalement à l’éditeur reste préférable à l’accumulation d’exclusions.

Microsoft Defender est souvent le point de comparaison pour les personnes qui envisagent de ne pas renouveler une suite. Son résultat AV-TEST d’août 2026, pour Defender Antivirus version 4.18, montre 6 sur 6 en Usability ; il faut néanmoins le lire avec les autres laboratoires et avec vos usages. Notre analyse de Microsoft Defender en 2026 explique les questions à se poser avant de compter uniquement sur la protection intégrée.

Face à une alerte, la décision la plus sûre est rarement immédiate. Conservez le fichier isolé, vérifiez sa provenance, cherchez un avis complémentaire adapté et demandez une correction lorsque le faux positif paraît établi. C’est ainsi qu’une alerte erronée reste un incident limité, sans devenir une faille créée par une exclusion trop large.