Empreinte digitale de navigateur expliquée

Qu'est-ce que l'empreinte digitale de navigateur ?

L'empreinte digitale de navigateur est une technique permettant d'identifier un utilisateur en mesurant les caractéristiques uniques de son navigateur et de son appareil — sans stocker quoi que ce soit sur votre appareil. Contrairement aux cookies, il n'y a rien à supprimer, rien à bloquer dans les paramètres de confidentialité habituels.

Lorsque vous visitez un site web, votre navigateur révèle automatiquement un grand nombre d'informations sur lui-même : sa version, les plugins installés, la résolution d'écran, le fuseau horaire, la langue préférée, les polices disponibles sur le système et bien plus encore. Chacun de ces attributs est courant. Mais combinés, ils créent un profil suffisamment unique pour identifier votre navigateur parmi des millions d'autres.

C'est comme si chaque navigateur avait ses propres empreintes digitales.

Comment fonctionne l'empreinte digitale

Les scripts de fingerprinting collectent des dizaines à des centaines de points de données :

Informations de base du navigateur : chaîne User-Agent (version du navigateur et du système d'exploitation), paramètres de langue, fuseau horaire, résolution d'écran et profondeur de couleur.

Polices système : En demandant au navigateur de mesurer comment il affiche du texte dans différentes polices, les scripts peuvent déterminer quelles polices sont installées sur votre système. La combinaison est souvent unique.

Canvas fingerprinting : Le navigateur reçoit l'instruction de dessiner une image ou un texte invisible dans un élément HTML canvas. La façon exacte dont le navigateur effectue ce rendu — légèrement différente selon le GPU, les pilotes graphiques et le système d'exploitation — produit une valeur de hachage qui peut servir d'identifiant.

WebGL fingerprinting : Similaire au canvas fingerprinting mais utilise le rendu 3D accéléré par le matériel, révélant des informations sur le GPU et les pilotes graphiques.

AudioContext fingerprinting : L'API Web Audio est utilisée pour générer de l'audio, dont le traitement varie légèrement selon le matériel et le logiciel. La variation est mesurée et utilisée comme identifiant.

Comportement JavaScript : La vitesse d'exécution du JavaScript, les résultats d'opérations mathématiques spécifiques (qui varient selon le processeur et l'implémentation) et d'autres métriques d'exécution contribuent toutes à l'empreinte.

Pourquoi c'est difficile à bloquer

Les cookies peuvent être supprimés. Les bloqueurs de publicités peuvent bloquer les serveurs de pistage par URL. Mais le fingerprinting utilise des capacités intégrées que les sites web légitimes utilisent aussi. Désactiver JavaScript casse la plupart des sites modernes. Désactiver les fonctionnalités canvas ou WebGL fait de même.

Certains outils anti-fingerprinting tentent d'aléatoiriser les valeurs plutôt que de les bloquer — faire en sorte que chaque mesure retourne une valeur légèrement différente à chaque fois, rendant les empreintes digitales cohérentes impossibles. Cette approche est utilisée par Brave Browser et le Tor Browser.

D'autres outils tentent l'uniformité — faire en sorte que votre navigateur ressemble à des milliers d'autres afin que vous vous fondiez dans la masse. C'est l'approche du Projet Tor avec le Tor Browser et du Mullvad Browser.

Le problème est que les deux approches ont des limites. La randomisation peut elle-même être détectée si le modèle de randomisation est reconnaissable. L'uniformité nécessite que suffisamment d'autres personnes utilisent exactement la même configuration.

Quelle est sa prévalence ?

Les recherches montrent que le fingerprinting de navigateur est utilisé par un pourcentage significatif des sites web populaires, principalement pour la fraude publicitaire, la détection de bots et, plus controversialement, le pistage des utilisateurs à des fins de ciblage publicitaire.

Des entreprises comme Google, Facebook et des centaines de fournisseurs de publicité plus petits utilisent des techniques de fingerprinting pour corréler l'activité des utilisateurs sur les sites et les appareils, même lorsque les cookies sont bloqués ou supprimés.

Que font les navigateurs à ce sujet

Brave perturbe le fingerprinting en ajoutant du bruit aléatoire aux sorties canvas, WebGL et audio, de sorte que chaque session produit une empreinte légèrement différente. Il bloque également les scripts de fingerprinting connus.

Tor Browser normalise l'empreinte digitale : tous les utilisateurs du Tor Browser semblent identiques, avec la même résolution d'écran (letterboxed), la même fenêtre de navigateur et les mêmes paramètres JavaScript. Le compromis est que certains sites fonctionnent mal.

Mullvad Browser adopte une approche similaire à Tor Browser mais sans le réseau Tor — conçu pour être utilisé avec un VPN.

Firefox inclut une "Résistance au fingerprinting" dans ses paramètres de confidentialité avancée. Activée, elle normalise de nombreuses valeurs pouvant être utilisées pour le fingerprinting.

Chrome et Edge offrent peu de protection native contre le fingerprinting, bien que des extensions comme Privacy Badger ou Canvas Blocker puissent aider.

Conseils pratiques

Utilisez un navigateur avec protection anti-fingerprinting intégrée. Brave, Firefox avec la résistance au fingerprinting activée, le Tor Browser ou le Mullvad Browser offrent tous des niveaux de protection variables.

Évitez d'installer des polices, plugins ou extensions inhabituels. Chaque ajout rend votre navigateur plus unique. Les utilisateurs au profil sobre sont plus difficiles à distinguer.

Soyez réaliste quant à l'anonymat complet. Si quelqu'un est vraiment motivé à vous identifier et dispose d'un accès à plusieurs sources de données, votre empreinte digitale n'est qu'une pièce parmi d'autres. Le fingerprinting à grande échelle pour la publicité ciblée est un problème différent de la surveillance ciblée.

Comprenez les limites de la navigation privée. Le mode incognito ne protège pas contre le fingerprinting — votre navigateur a toujours les mêmes caractéristiques qu'en mode normal.

L'empreinte digitale de navigateur illustre pourquoi la confidentialité en ligne est un problème systémique difficile à résoudre au niveau individuel. Les navigateurs offrant une protection intégrée représentent actuellement la meilleure approche pratique pour la plupart des utilisateurs.