L'empreinte numérique du navigateur a discrètement remplacé les cookies comme méthode de suivi par défaut

Les cookies tiers étaient censés mourir il y a des années. Safari d'Apple les a bloqués par défaut dès 2019-2020 avec Intelligent Tracking Prevention, l'Enhanced Tracking Protection de Firefox a suivi la même année, et Google a passé de 2020 à 2024 à promettre de les supprimer entièrement de Chrome — avant de faire volte-face en juillet 2024 et d'annoncer qu'il conserverait les cookies tiers en offrant à la place aux utilisateurs une invite de choix. Rien de tout cela n'a arrêté le suivi intersites. Cela a simplement déplacé le suivi vers une technique que les cadres juridiques construits autour des cookies n'ont jamais été conçus pour détecter : l'empreinte numérique du navigateur (browser fingerprinting).

C'est le changement discret qu'il convient de comprendre : sur environ la moitié du marché des navigateurs — Safari et Firefox combinés — le suivi par cookies intersites est mort depuis des années, et le suivi n'a pas cessé, il a migré vers la lecture de signaux que le navigateur expose déjà plutôt que l'écriture d'un identifiant sur celui-ci. Les cadres de consentement construits sur l'idée que "les cookies nécessitent une autorisation" ne s'appliquent pas clairement à une technique qui ne stocke jamais rien sur l'appareil au départ.

Ce que l'empreinte numérique lit réellement

L'empreinte canvas affiche un graphique caché via l'API Canvas du navigateur et relit les pixels résultants ; de minuscules différences dans les piles GPU, pilote et rendu de police produisent un hachage de sortie quasi unique selon les appareils. L'empreinte WebGL fait quelque chose de similaire en interrogeant la chaîne du moteur de rendu GPU et les extensions prises en charge. L'empreinte AudioContext joue un son inaudible via l'API Web Audio et mesure de minuscules différences en virgule flottante dans la forme d'onde de sortie causées par des différences de matériel et de système d'exploitation.

Aucune de ces techniques ne nécessite de stocker quoi que ce soit. Combinez les signaux canvas, WebGL et audio avec l'énumération des polices, la résolution d'écran, le fuseau horaire et les extensions de navigateur installées, et le projet Cover Your Tracks de l'EFF (successeur de Panopticlick) a constaté à plusieurs reprises que l'immense majorité des navigateurs testés produisent une empreinte unique ou quasi unique parmi tous les autres testés — suffisant pour suivre un utilisateur à travers les sites sans jamais toucher un cookie.

Ironiquement, la réduction du User-Agent de Chrome, motivée par la protection de la vie privée — remplaçant l'ancienne chaîne User-Agent en texte libre par des Client Hints structurés — a rendu certains signaux d'empreinte plus propres et plus cohérents à lire, plutôt que plus confus. Et les techniques au niveau réseau s'ajoutent à celles du navigateur : le CNAME cloaking déguise une requête de suivi tiers en requête de sous-domaine propriétaire, échappant aux outils de listes de blocage de traqueurs qui ne vérifient que le domaine visible.

La zone grise juridique, expliquée

L'article 5(3) de la directive européenne ePrivacy exige un consentement pour "stocker ou accéder à des informations déjà stockées" sur l'appareil d'un utilisateur. Ce texte a été rédigé en pensant aux cookies — un cookie écrit un identifiant dans le stockage, et c'est cette écriture qui nécessite un consentement. L'empreinte numérique n'écrit rien ; elle lit des signaux que le navigateur expose déjà à toute page qui les demande. Pendant des années, cela a créé un argument réel selon lequel l'empreinte échappait au champ littéral du droit du consentement aux cookies.

La CNIL française a comblé une partie de cette lacune dans des lignes directrices de 2020, affirmant explicitement que l'empreinte relève de l'article 5(3) car "accéder à des informations" couvre la lecture de signaux existants, pas seulement l'écriture de nouveaux signaux — le consentement est donc requis quoi qu'il en soit. L'ICO britannique a publié des lignes directrices similaires. Mais la portée juridique énoncée et l'application réelle sont deux choses différentes : prouver qu'un appel spécifique à l'API canvas ou audio a été utilisé pour le suivi, par opposition à une détection légitime de bots ou une prévention de la fraude, est un problème forensique technique que les régulateurs ne sont pas bien équipés pour résoudre à grande échelle, et les mesures d'application visant spécifiquement l'empreinte restent rares par rapport aux violations des bannières de consentement aux cookies.

Il existe aussi une faille de cadrage, sans doute plus importante que la zone grise juridique : des entreprises comme Fingerprint (anciennement FingerprintJS), Seon, Arkose Labs et iovation de TransUnion commercialisent exactement la même collecte de signaux comme de la "prévention de la fraude" plutôt que du "suivi". Le cadrage prévention de la fraude se rapproche davantage d'une base légale d'intérêt légitime qui ne nécessite pas le même parcours de consentement que la publicité — même lorsqu'une empreinte initialement calculée pour la notation de fraude est ensuite réutilisée pour l'attribution publicitaire.

Ce que cela signifie pour les bannières de consentement aux cookies

La conséquence pratique est que les bannières de consentement aux cookies — ce que la plupart des utilisateurs associent désormais à la "conformité en matière de vie privée" — ne font rien contre le suivi basé sur l'empreinte numérique. Un site peut exploiter une bannière de cookies entièrement conforme, refuser par défaut tous les cookies non essentiels, et continuer à prendre l'empreinte de chaque visiteur via des signaux canvas et audio que la bannière ne mentionne jamais, car tout le cadrage juridique et technique de la bannière est spécifique aux cookies.

La propre tentative de remplacement de Google — les API Privacy Sandbox (Topics API pour le ciblage publicitaire par centres d'intérêt, Protected Audience pour le remarketing, Attribution Reporting pour la mesure des conversions) — est une tentative sincère d'alternative sans empreinte, construite autour d'un calcul agrégé et sur l'appareil plutôt que d'une collecte de signaux bruts. L'adoption a été lente et contestée par les entreprises adtech qui estiment qu'elle favorise la propre activité publicitaire de Google, et elle ne s'applique de toute façon qu'au sein de Chrome — elle ne fait rien pour les utilisateurs de Safari ou Firefox, et rien contre les usages non publicitaires de l'empreinte comme la notation de fraude.

Que faire réellement à ce sujet

Si vous gérez un site web : sachez ce que vos fournisseurs d'analytics, de prévention de la fraude et d'adtech collectent réellement. "Nous n'utilisons pas de cookies de suivi" n'est pas la même affirmation que "nous ne prenons pas d'empreintes", et les régulateurs attendent de plus en plus que vous puissiez répondre aux deux. Si la documentation d'un fournisseur n'aborde pas explicitement l'empreinte canvas, WebGL ou audio, demandez-leur directement — les lignes directrices de la CNIL de 2020 signifient que la réponse a un poids juridique dans l'UE, quoi que dise votre bannière de cookies.

Si vous êtes développeur et que vous construisez des outils anti-fraude, divulguez explicitement les signaux basés sur l'empreinte aux utilisateurs plutôt que de compter sur une bannière de cookies générique pour les couvrir — l'écart entre le cadrage "prévention de la fraude" et la réutilisation réelle du même signal pour le suivi publicitaire est exactement là où se dirige la prochaine vague d'application.

Si vous êtes un utilisateur soucieux de la vie privée, les paramètres de cookies seuls ne vous protègent pas. Le "farbling" de Brave (randomisation des sorties d'API pertinentes pour l'empreinte sur chaque site) et le letterboxing et la randomisation canvas de Tor Browser sont les seules contre-mesures cohérentes actuellement disponibles, car il n'existe pas de bascule de consentement pour une technique qui, à la base, ne nécessite pas votre permission.