Google a annulé son interdiction du fingerprinting — et tué Privacy Sandbox. Voici à quoi ressemble le suivi en ligne aujourd'hui.
L'histoire qui était censée se produire : Google allait déprécier les cookies tiers, forcer l'industrie à adopter les alternatives de Privacy Sandbox, et le web deviendrait plus respectueux de la vie privée. L'histoire qui s'est réellement produite : Google a levé son interdiction du fingerprinting en février 2025, officiellement abandonné Privacy Sandbox en avril 2025, jamais achevé la suppression progressive des cookies qu'il avait promise à maintes reprises depuis 2020, et en 2026 le suivi en ligne est techniquement plus sophistiqué et plus difficile à bloquer pour les utilisateurs qu'il ne l'était au début de cette histoire.
Pour comprendre ce qui s'est passé, il faut démêler trois fils distincts qui se sont retrouvés emmêlés dans la couverture médiatique : le sort des cookies tiers, le sort de Privacy Sandbox, et l'essor du fingerprinting comme méthode de suivi successeur. Ils sont liés, mais ne racontent pas la même histoire.
Ce qu'il est advenu des cookies tiers
Les cookies tiers — le mécanisme qui permet à un réseau publicitaire de vous reconnaître sur différents sites web où ses publicités apparaissent — étaient censés disparaître de Chrome d'ici 2022. Cette échéance a glissé à 2023, puis 2024, puis au quatrième trimestre 2025. En avril 2025, Google a confirmé qu'il ne mettrait pas en œuvre une suppression universelle des cookies tiers dans Chrome. À la place, il maintiendrait les contrôles de cookies existants dans les paramètres de Chrome et offrirait aux utilisateurs une invite ponctuelle pour configurer leurs préférences.
Ce n'est pas une victoire technique pour les cookies tiers. Safari et Firefox bloquent le suivi intersites par défaut depuis des années, et ces navigateurs représentent collectivement environ 35 % du trafic web mondial. La décision de Chrome de ne pas les déprécier signifie que les cookies tiers persistent dans le navigateur utilisé par 65 % du web — mais l'industrie publicitaire s'était déjà adaptée à leur disparition éventuelle, et bon nombre de ces adaptations se sont révélées fondées sur le fingerprinting.
Le résultat concret : les cookies tiers fonctionnent toujours dans Chrome, mais leur portée est limitée par les cadres de consentement, le fait que de nombreux utilisateurs ignorent ou rejettent les bannières de cookies, et l'érosion continue de leur efficacité à mesure que l'infrastructure de résolution d'identité bascule vers d'autres méthodes.
Privacy Sandbox : l'alternative qui ne s'est jamais concrétisée
Privacy Sandbox était la tentative de Google de remplacer la fonctionnalité des cookies tiers par des alternatives respectueuses de la vie privée. Les propositions phares — Topics API (publicité ciblée par centres d'intérêt sans suivi individuel), Attribution Reporting API (mesure des conversions publicitaires sans données intersites) — étaient conçues pour permettre à l'écosystème publicitaire de fonctionner sans identifiants intersites individuels.
Privacy Sandbox a été officiellement abandonné en avril 2025. Les raisons invoquées : une faible adoption par les sites web et l'industrie de la technologie publicitaire, la pression réglementaire de la Competition and Markets Authority du Royaume-Uni (qui s'inquiétait de savoir si Privacy Sandbox servait principalement l'activité publicitaire de Google plutôt que l'écosystème dans son ensemble), et la réalité pratique que, sans la dépréciation obligatoire des cookies forçant la migration, il n'y avait aucune raison convaincante pour l'industrie d'adopter des alternatives incomplètes.
L'ICO au Royaume-Uni a maintenu que Privacy Sandbox nécessitait toujours le consentement explicite de l'utilisateur à des fins de suivi — ce qui signifie que Privacy Sandbox ne résolvait pas réellement le problème de consentement, il ne faisait que déplacer l'endroit où le consentement était requis. Avec cette décision réglementaire, le cas d'affaires pour l'adoption de Privacy Sandbox s'est largement évaporé.
Le revirement sur le fingerprinting : ce qui a changé et ce que cela signifie
Le fingerprinting de navigateur — créer un identifiant unique pour un appareil en combinant des caractéristiques comme le comportement de rendu GPU, les polices installées, la résolution d'écran, le fuseau horaire, l'état de la batterie et des centaines d'autres signaux — est techniquement possible depuis des années. Google avait précédemment classé le fingerprinting comme une violation de ses politiques publicitaires, le plaçant dans la même catégorie que les pratiques contournant les contrôles de confidentialité des utilisateurs.
En février 2025, Google a inversé cette politique. Le fingerprinting est désormais autorisé dans les produits publicitaires de Google, ce dernier citant les technologies d'amélioration de la confidentialité comme justification. En pratique, cela signifie que le fingerprinting est passé d'une technique utilisée discrètement et niablement par les annonceurs à une méthode déployée ouvertement et officiellement approuvée par la plus grande entreprise de publicité numérique au monde.
L'état technique du fingerprinting en 2026 est sobre. Les systèmes modernes de fingerprinting combinent plus de 100 signaux d'appareil et de navigateur. L'analyse par IA de ces signaux atteint une précision d'identification allant jusqu'à 99,78 % sur les appareils mobiles. Même avec JavaScript désactivé, le fingerprinting par canvas, l'énumération des polices et les signaux comportementaux peuvent identifier les utilisateurs avec un taux d'unicité de 94,2 %. La technique fonctionne en mode navigation privée, survit à la suppression des cookies et persiste à travers les mises à jour du navigateur car la configuration matérielle et logicielle sous-jacente change lentement.
L'ICO du Royaume-Uni maintient que le fingerprinting nécessite le consentement explicite de l'utilisateur en vertu du RGPD — une position qui crée une tension juridique avec la politique d'utilisation autorisée de Google. Mais l'application de cette tension dépend du fait que les régulateurs disposent à la fois des ressources et de la capacité technique pour auditer les déploiements de fingerprinting à grande échelle, ce qui est substantiellement plus difficile que l'audit de l'utilisation des cookies.
Le fingerprinting polymorphique : pourquoi le blocage devient plus difficile
Le fingerprinting traditionnel peut être partiellement contrecarré par les navigateurs anti-détection — des outils qui falsifient les caractéristiques du navigateur, présentent des rendus de canvas fabriqués et manipulent d'autres signaux de fingerprinting pour créer un profil d'appareil trompeur. Les navigateurs axés sur la confidentialité comme Brave et Firefox intègrent une certaine résistance au fingerprinting par conception.
Le fingerprinting polymorphique, apparu en 2026, change la dynamique adversaire. Plutôt que d'utiliser du JavaScript statique que les outils de blocage du fingerprinting peuvent identifier et intercepter, le fingerprinting polymorphique modifie dynamiquement le code utilisé pour collecter les signaux — changeant les noms de fonctions, l'ordre d'exécution et les modèles de transformation des données à chaque requête. Une validation de cohérence côté serveur vérifie ensuite si le modèle de fingerprinting correspond au comportement attendu, signalant les incohérences qui suggèrent une falsification. Les navigateurs anti-détection qui réussissent à bloquer une implémentation de fingerprinting se retrouvent ré-identifiés car les signaux falsifiés sont internement incohérents d'une manière que le serveur peut détecter.
La course aux armements entre le fingerprinting et la résistance au fingerprinting a toujours existé. Le fingerprinting polymorphique représente une avancée réelle dans les capacités du camp du fingerprinting, pas seulement une amélioration incrémentale.
Ce qui remplace réellement les cookies : la vraie réponse de l'industrie
La vraie réponse de l'industrie de la technologie publicitaire à l'avenir limité des cookies n'est pas une API unique approuvée par Google — c'est une combinaison d'approches qui réduisent collectivement la dépendance à un seul mécanisme de suivi :
Les données first-party : Les données collectées directement auprès des utilisateurs qui les ont explicitement fournies — adresses e-mail, historique d'achats, préférences déclarées. Ces données sont très précises et conformes au consentement, mais limitées aux marques qui ont des relations directes avec les utilisateurs.
Unified ID 2.0 (UID 2.0) : Un cadre open source qui crée des identifiants anonymisés et chiffrés à partir d'adresses e-mail avec le consentement de l'utilisateur. L'éditeur demande un e-mail ; UID 2.0 le transforme en un ID pseudonyme qui peut être utilisé pour le ciblage sans exposer l'e-mail brut aux annonceurs. L'adoption progresse mais nécessite une action de l'utilisateur (fournir un e-mail) que la plupart des navigations n'impliquent pas.
Les data clean rooms : Des environnements de calcul sécurisés où plusieurs parties peuvent analyser leurs ensembles de données combinés sans partager de données utilisateur brutes. Une marque peut apporter des données clients first-party ; un éditeur peut apporter des données d'utilisateurs connectés ; la clean room trouve le chevauchement et mesure l'efficacité de la campagne sans qu'aucune des parties ne voie les enregistrements bruts de l'autre.
La publicité contextuelle : Un ciblage basé sur le contenu de la page consultée plutôt que sur l'historique de l'utilisateur qui la consulte. Un utilisateur lisant un test automobile voit des publicités pour des voitures, quel que soit son historique de navigation. Moins précise que le ciblage comportemental, mais aucun suivi intersites n'est nécessaire.
Aucune de ces solutions ne remplace entièrement la précision du ciblage comportemental utilisant le suivi intersites. Cette précision a disparu pour les utilisateurs qui bloquent les cookies, utilisent Safari, ou sont couverts par les exigences de consentement du RGPD. Pour les utilisateurs qui ne le font pas — la majorité — le fingerprinting est l'identifiant par défaut dans un monde où les alternatives basées sur les cookies ont largement échoué à se lancer.
Ce que les utilisateurs peuvent réellement faire
Concrètement : utilisez Firefox ou Brave plutôt que Chrome, qui ont tous deux une résistance au fingerprinting plus agressive intégrée. Activez la protection stricte contre le suivi (Firefox) ou les boucliers anti-fingerprinting (Brave). Utilisez un VPN pour masquer votre IP, qui est l'un des signaux de fingerprinting les plus puissants. Comprenez que le mode navigation privée empêche le suivi local (historique sauvegardé, cookies) mais n'empêche pas le fingerprinting — les caractéristiques de l'appareil sont les mêmes quel que soit le mode de navigation.
Aucun outil grand public ne vient complètement à bout du fingerprinting moderne. Ce que fait la résistance au fingerprinting, c'est vous intégrer dans un groupe plus large qui semble identique — ce qui limite le ciblage comportemental même si cela ne peut pas éliminer entièrement l'identification de l'appareil. L'écart de confidentialité entre un navigateur résistant au fingerprinting et une installation Chrome par défaut est réel et significatif.