Le fingerprinting des navigateurs, le successeur plus dangereux du cookie de suivi

Pendant vingt-cinq ans, le cookie de suivi a été l’outil fondamental de la publicité numérique. Déposer un petit fichier dans un navigateur, le relire lors de la visite suivante, lier l’utilisateur à un profil. Simple, efficace et – on l’a découvert – facile à bloquer. Safari a commencé à bloquer les cookies tiers en 2020. Firefox a suivi. Chrome a annoncé leur dépréciation (puis l’a retardée deux fois, avant de s’y engager définitivement). Des extensions de navigateur comme uBlock Origin et Privacy Badger ont popularisé le blocage des cookies. L’industrie publicitaire a vu venir le coup et a passé une décennie à construire un remplaçant bien plus difficile à contrer : le fingerprinting des navigateurs.

Le fingerprinting des navigateurs identifie un utilisateur non pas en lisant un fichier sur son appareil, mais en posant une grande quantité de questions au navigateur – quelles polices sont installées, quelle carte graphique équipe la machine, quelle résolution d’écran et profondeur de couleur, quels plugins sont chargés, quels réglages linguistiques sont actifs, comment le navigateur affiche un élément canvas spécifique – et en condensant l’ensemble en un identifiant unique. Aucun cookie n’est écrit. Aucun fichier n’est stocké. L’utilisateur ne peut pas l’effacer en vidant son cache. Il persiste même en navigation privée. Il fonctionne même lorsqu’un VPN masque l’adresse IP de l’utilisateur. Et il est totalement invisible.

Comment le fingerprinting fonctionne réellement

La puissance du fingerprinting vient de la spécificité des combinaisons d’environnements navigateurs. L’outil Cover Your Tracks (anciennement Panopticlick) de l’Electronic Frontier Foundation a constaté en 2023 que 84,6 % des navigateurs ont une empreinte suffisamment unique pour identifier l’utilisateur parmi un échantillon de plusieurs millions. Ce chiffre a augmenté avec la diversification du matériel – modèle de GPU, quantité de RAM, nombre de cœurs CPU et polices installées contribuent tous à l’empreinte.

Le composant le plus distinctif est le canvas fingerprinting. Un script demande au navigateur de dessiner une image cachée – généralement du texte dans une police spécifique sur un fond coloré – et lit les données pixellaires exactes rendues par le GPU. Des matériels, pilotes et versions de navigateur différents produisent des différences microscopiques pour une même instruction. Ces différences sont cohérentes par appareil et uniques d’un appareil à l’autre. L’AudioContext fingerprinting fonctionne de manière similaire : un script génère un signal sonore, capture la manière dont la pile audio du navigateur le traite, et en calcule un condensat.

Le WebGL fingerprinting extrait directement la chaîne de caractères du modèle GPU et les informations du moteur de rendu. Les API de navigation timing exposent des caractéristiques subtiles de performance du CPU de l’appareil. Même la liste des autorisations de navigateur accordées par l’utilisateur – localisation, caméra, notifications – fait partie de l’empreinte.

Qui l’utilise et à quelle échelle

Le fingerprinting n’est pas une technique marginale. Une étude de 2025 menée par des chercheurs de la KU Leuven a révélé que 32,4 % des 10 000 sites web les plus visités selon l’indice Alexa déploient une forme de fingerprinting, contre 12,4 % en 2018. Les grands réseaux publicitaires – le successeur de Google DoubleClick, The Trade Desk, Criteo – utilisent le fingerprinting comme signal dans leurs systèmes de résolution d’identité, combiné à des adresses e-mail hachées (provenant de murs de connexion) et à un appariement probabiliste entre appareils.

Les entreprises de détection de fraude ont des usages légitimes du fingerprinting : identifier un même acteur malveillant à travers de multiples faux comptes est réellement utile, et le fingerprinting est plus fiable que les cookies dans ce but. PayPal, Stripe et la plupart des grandes banques déploient le fingerprinting comme couche de sécurité. La même technique qui protège votre compte bancaire des fraudeurs est utilisée pour suivre votre comportement d’achat sur le web.

Les courtiers en données – LiveRamp, Neustar, Tapad – proposent des graphes d’identité inter-appareils qui combinent fingerprintings, e-mails hachés, adresses IP et données de localisation en profils persistants. Ces profils sont vendus aux annonceurs, aux compagnies d’assurance, aux employeurs et – en l’absence de régulation forte sur les courtiers en données – à quiconque dispose d’un bon de commande.

Ce que les navigateurs font pour y remédier

Les éditeurs de navigateurs sont conscients du problème. L’Intelligent Tracking Prevention (ITP) de Safari inclut des protections contre le fingerprinting : il limite la granularité des données renvoyées par plusieurs API, randomise légèrement la sortie canvas et restreint l’énumération des polices. Firefox propose des atténuations similaires dans son mode strict Enhanced Tracking Protection. Chrome a annoncé les API Privacy Sandbox conçues pour remplacer le suivi intersite, bien que les critiques (dont la Competition and Markets Authority du Royaume-Uni, qui a enquêté sur les plans de dépréciation de Chrome) soutiennent qu’elles créent une couche de suivi contrôlée par Google plutôt que d’éliminer le suivi.

Brave Browser adopte l’approche la plus agressive : il randomise les données de fingerprinting par site et par session, renvoyant des valeurs légèrement différentes à chaque fois, rendant l’empreinte inutile pour la corrélation intersite tout en préservant le fonctionnement normal du navigateur. Le Tor Browser va plus loin, en standardisant l’environnement du navigateur pour qu’il soit identique chez tous les utilisateurs de Tor – efficace mais avec des compromis d’utilisabilité significatifs (pas de polices personnalisées, JavaScript limité, fidélité d’interface réduite).

Le problème fondamental est que le fingerprinting exploite les mêmes API qui rendent le web fonctionnel. Bloquer l’accès au canvas casse les sites qui utilisent canvas pour le rendu. Limiter WebGL casse les applications web 3D. Les éditeurs essaient d’ajouter du bruit à ces API plutôt que de les bloquer, mais le bruit peut être calibré avec suffisamment d’échantillons.

Ce que vous pouvez réellement faire

Les options pratiques pour les utilisateurs qui souhaitent limiter le fingerprinting se répartissent en trois niveaux.

Au niveau de base : utilisez Firefox avec Enhanced Tracking Protection réglé sur Strict, ou Brave. Les deux offrent une résistance significative au fingerprinting sans casser la plupart des sites web. Activez DNS-over-HTTPS (intégré aux deux navigateurs) pour empêcher la journalisation du trafic au niveau FAI. Installez uBlock Origin en mode Medium.

Au niveau intermédiaire : utilisez Brave avec Fingerprinting Protection réglé sur « Strict (peut casser des sites) ». Cela randomise la plupart des vecteurs de fingerprinting au prix de quelques casses occasionnelles. Combinez avec un VPN réputé pour supprimer la corrélation basée sur l’IP.

Au niveau maximal : Tor Browser, utilisé au sein de Tails OS pour les sessions sensibles. Cela fournit la normalisation de fingerprinting la plus forte disponible, au prix d’une vitesse de navigation et d’une compatibilité de sites considérablement réduites.

Pour les organisations : le fingerprinting devrait faire partie de toute politique de sécurité navigateur. Les navigateurs gérés peuvent avoir une protection contre le fingerprinting configurée de manière centralisée. Les appareils des employés devraient utiliser des navigateurs avec des profils renforcés, en particulier pour le personnel ayant accès à des systèmes sensibles – les campagnes de spear-phishing ciblé utilisent de plus en plus le fingerprinting pour profiler leurs cibles avant de lancer des attaques.

En résumé : ce qu’il faut retenir

Si la vie privée en ligne vous importe, effacer les cookies et utiliser la navigation privée ne suffit pas. Le fingerprinting des navigateurs construit un profil de vous sans toucher à vos fichiers. Passez à Firefox ou Brave comme navigateur principal, tous deux configurés avec une protection stricte contre le suivi. Évitez de vous connecter à des comptes Google ou Facebook sur les navigateurs utilisés pour la navigation générale – l’e-mail haché provenant des connexions ancre l’empreinte à une identité réelle. Pour les sessions les plus sensibles, utilisez Tor Browser. Comprenez que les VPN seuls ne empêchent pas le fingerprinting – ils masquent votre IP tout en laissant l’empreinte intacte. La défense efficace réside dans le choix et la configuration du navigateur, pas dans un produit de confidentialité unique.