Un tag peut-il lire des données de votre téléphone ?
Non. Les rôles dans l'échange sont fixés : le téléphone alimente le tag et émet les commandes, le tag y répond. Un tag n'a aucun moyen de demander quoi que ce soit, et même s'il le pouvait, rien ne serait joignable sur le téléphone, puisqu'il parle à la radio et non à vos fichiers.
Les rôles sont fixés
Dans une lecture de tag, le téléphone est l'initiateur. Il crée le champ, alimente le tag et envoie les commandes. Le tag répond et ne fait rien de son propre chef.
Il n'existe pas de commande dans le sens que la question imagine. Un tag ne peut pas demander au téléphone une liste de contacts parce que le protocole ne lui donne aucun moyen de demander quoi que ce soit.
Ce n'est pas une autorisation qu'on pourrait accorder ni un réglage qui pourrait être mauvais. C'est la forme de l'échange.
Même s'il pouvait demander
Supposons qu'un tag puisse émettre une requête. Il parlerait au sous-système NFC du téléphone, qui est une interface radio, et non au stockage.
Atteindre vos photographies ou vos messages supposerait de passer par le système d'exploitation, le bac à sable des applications et le modèle d'autorisations, dont rien n'est exposé par la radio à un tag.
La réponse tient donc à deux niveaux indépendants, et chacun suffirait seul.
D'où vient la crainte
De l'émulation de carte, où un téléphone se comporte comme une carte et où c'est un lecteur qui initie. C'est l'arrangement inverse, et il met en jeu un lecteur auquel vous présentez le téléphone, pas un tag.
De l'inquiétude générale envers les technologies sans fil, dont la plupart sont effectivement bidirectionnelles et dont certaines s'annoncent en continu.
Et du fait que poser le téléphone sur un tag lui fait faire quelque chose, ce qui ressemble à un tag qui atteint le téléphone alors que c'est le téléphone qui agit sur ce qu'il a lu.
Cette dernière distinction est la plus importante : le tag propose un contenu, et le téléphone décide quoi en faire.
Ce qui mérite de la prudence
Pas le tag qui vous lirait. L'adresse qu'il propose, et ce que vous faites ensuite.
Un tag peut porter une adresse qui mène quelque part d'hostile, exactement comme un lien imprimé, et la défense est la même : regarder avant de suivre.
Un tag peut aussi porter un contenu conçu pour faire mal se comporter une application, ce qui est une question sur l'application plutôt que sur le NFC et se traite à part.
Lire un tag inconnu avec un outil qui affiche son contenu, au lieu de laisser le téléphone agir, est la seule habitude qui vaille.
Questions fréquentes
Un tag peut-il voler mes contacts ou mes photos ?
Non. Un tag ne peut émettre aucune requête, et l'interface radio ne serait de toute façon pas une route vers le stockage.
Est-ce un réglage à vérifier ?
Non. C'est la forme de l'échange plutôt qu'une autorisation. Le tag ne fait jamais que répondre.
Et quand mon téléphone se comporte comme une carte ?
C'est l'émulation de carte, l'arrangement inverse, et elle met en jeu un lecteur auquel vous présentez délibérément le téléphone.
De quoi faut-il alors se méfier ?
De l'adresse qu'un tag propose, et de ce que vous faites une fois qu'elle est ouverte. Regarder le contenu avant de laisser le téléphone agir.