Le pistage web a pris un tournant avec l’affaire des ultrasons d’AliExpress. Une découverte qui a étonné les observateurs. Aujourd’hui, un outil gratuit dévoile l’étendue réelle des intrusions en ligne. Le verdict est sans appel : votre navigateur est bien plus bavard que vous ne le pensez.
Pistage web : l’empreinte invisible de votre navigateur
Chaque visite laisse des traces. Des dizaines de signaux sont collectés sans que vous vous en aperceviez. Résolution d’écran, police installée, version du navigateur, comportement de la souris. Ces données, croisées entre elles, forment une empreinte numérique quasi unique. C’est le principe du fingerprinting.
Un développeur, David Dale, a conçu un outil gratuit qui rend visible cette mécanique. Il s’appelle Glassbox. Il exécute toute la panoplie des techniques croisées du web moderne et affiche les données brutes, sans filtre. Le tout tourne entièrement dans le navigateur. Rien n’est envoyé vers l’extérieur, à l’exception d’un appel à une interface de géolocalisation publique.
Une signature unique parmi 7,6 milliards
Le testeur du média britannique The Register a tenté l’expérience. Sa session Chrome de travail a obtenu un score de 99 %. Son Firefox est resté à 89 %. Même Tor, pourtant réputé pour sa protection, a atteint 56 % avec un circuit actif.
Traduit en clair : sa configuration Chrome serait unique parmi 7,6 milliards de navigateurs. Son adresse IPv6 affinant encore le tir. David Dale précise sur Hacker News que ce pourcentage constitue un modèle honnête, pas une mesure de laboratoire.
Qui pourrait imaginer qu’un simple rendu graphique en dise autant ? Les traqueurs, eux, le savent depuis longtemps. Ils exploitent ces moindres variations pour identifier les internautes.
Protection vie privée : le piège des protections excessives
Le réflexe naturel consiste à empiler les protections. Bloqueurs, extensions, navigateurs durcis. C’est précisément là que le raisonnement déraille. Un navigateur bardé d’extensions exotiques, de valeurs falsifiées et de réglages rares finit par présenter un profil que personne d’autre ne partage. Résultat : il devient plus repérable qu’une installation standard.
Prenons un exemple concret. Un internaute installe des outils pour se protéger. Son navigateur annonce Windows alors que le rendu graphique désigne une puce Apple. Cette incohérence devient elle-même une signature. Le déguisement attire l’œil. Les traceurs web recoupent ces signaux et adorent ce genre de paradoxe.
Le paradoxe du déguisement anti-pistage
L’objectif à viser tient dans la banalité. Les navigateurs comme Tor ou Firefox en mode résistance alignent tous leurs utilisateurs sur les mêmes valeurs. Brave et ses protections renforcées font varier l’empreinte à chaque session. La diversité devient une force.
Voici les signaux les plus utilisés pour bâtir une empreinte :
- 🖥️ Le User-Agent, qui identifie le navigateur et le système d’exploitation
- 🎨 Le rendu graphique, via Canvas ou WebGL, qui expose les capacités du processeur
- 🔊 Le contexte audio, qui mesure les fréquences propres à la carte son
- ⌨️ La police de caractères, dont la liste varie selon les installations
- 🌍 Le fuseau horaire et la langue du système
- 🔌 Les extensions installées, détectables par leurs effets sur la page
Chaque signal pris séparément semble anodin. Leur combinaison devient une carte d’identité numérique redoutable.
Intrusions en ligne : l’affaire AliExpress et les traceurs web
L’affaire des ultrasons d’AliExpress a mis en lumière une technique particulièrement discrète. Un développeur a découvert que la plateforme exécutait un fingerprinting WebAudio silencieux. Ce procédé détourne le chemin audio et empêche les écouteurs Bluetooth multipoints de basculer entre les appareils. Le but : identifier les visiteurs sans qu’ils s’en doutent.
Cette révélation s’inscrit dans un mouvement plus large. Depuis février 2025, Google autorise ses annonceurs à recourir au fingerprinting après l’avoir interdit pendant six ans. La pratique s’est banalisée. Les intrusions en ligne ne passent plus seulement par les cookies.
Des ultrasons au fingerprinting, même combat
Côté français, ce sujet n’a rien d’une nouveauté pour la recherche publique. Le site AmIUnique.org, hébergé par l’Inria, collecte des empreintes depuis 2014. Il en a rassemblé plus de deux millions. Ce travail a inspiré certaines protections de Brave.
Les chercheurs de l’institut estiment que la combinaison des cookies, des adresses IP et des empreintes permet d’identifier 98 % des internautes. La CNIL, de son côté, considère le fingerprinting comme un traceur soumis au consentement préalable. Cela relève de l’article 82 de la loi Informatique et Libertés. Le principe est simple : pas de surveillance numérique sans accord explicite.
La réalité du terrain reste pourtant éloignée de ce cadre. La confidentialité des utilisateurs tient parfois à un fil.
Tester votre exposition avec un outil gratuit, mode d’emploi
Tester son navigateur ne prend qu’une poignée de secondes. L’opération permet au moins de savoir à quoi ressemble sa propre silhouette numérique. Rendez-vous sur le site de Glassbox. Laissez l’outil analyser votre configuration. Un score s’affiche, accompagné d’une estimation de votre identifiabilité.
Autant le dire clairement : le score obtenu ne protégera de rien. Mais il a le mérite de transformer une menace abstraite en un pourcentage qu’on n’oublie pas. Une prise de conscience, en quelque sorte.
Que faire de votre score d’identifiabilité ?
Si votre score est élevé, inutile de céder à la panique. Revenez à une configuration plus standard. Évitez les extensions superflues. Désactivez le WebGL si vous n’en avez pas besoin. Chaque geste de protection vie privée compte, mais l’excès d’ingéniosité se retourne contre vous.
La sécurité internet exige de la mesure. Les navigateurs résistants comme Tor ou Firefox en mode strict imposent des valeurs identiques pour tous. C’est cette uniformité qui protège. La banalité devient un bouclier.
Le pistage web est devenu une industrie. Face à lui, une seule arme fiable : la simplicité. Moins votre navigateur se distingue, moins vous êtes repérable. La leçon vaut pour chacun de nous.
Quand votre navigateur en dit trop
Est-ce que Glassbox envoie mes données quelque part ?
Tout tourne dans le navigateur. Le seul appel externe sert à la géolocalisation publique, pas à un serveur privé.
Pourquoi mon navigateur protégé est-il encore plus repérable ?
Les protections ajoutent des réglages rares et des incohérences. Un profil déguisé devient unique, donc plus visible pour les traqueurs.
Faut-il désactiver les extensions pour être tranquille ?
Pas toutes, mais limitez-vous aux essentielles. Une config standard et cohérente est souvent plus discrète qu'un assemblage d'extensions.
Ça vaut le coup d'utiliser Tor pour échapper au pistage ?
Tor reste utile, mais son score de 56 % dans le test montre qu'il n'est pas invisible. La banalité du profil compte plus que la réputation de l'outil.
Un chiffre à partager sur le sujet ?
Laisser un commentaire
Product designer formée à l’ECV, dix ans en agence et en studio produit avant de fonder UI Pedia. Démonte les interfaces, lit la recherche en interaction homme-machine, transmet ce qui marche aux designers en activité.
