Des sites web vous suivent via l’empreinte du navigateur

 (engineering.tamu.edu)
11 points par GN⁺ 2025-06-20 | 1 commentaires | Partager sur WhatsApp
  • L’empreinte du navigateur est une méthode de suivi en ligne qu’il ne suffit pas d’empêcher en supprimant les cookies
  • Une équipe de recherche de l’université du Texas a démontré des cas réels d’usage pour le suivi grâce à un framework de mesure appelé FPTrace, en observant les enchères publicitaires et les variations des journaux HTTP
  • Lorsqu’une empreinte change, on observe des variations des enchères publicitaires ainsi qu’une baisse des journaux HTTP
  • Même si l’on refuse le suivi conformément à des lois sur la vie privée comme le RGPD ou le CCPA, le suivi fondé sur l’empreinte continue
  • Les chercheurs soulignent que les outils et politiques actuels de protection de la vie privée sont insuffisants et insistent sur la nécessité de renforcer la régulation et les défenses techniques

Websites Are Tracking You Via Browser Fingerprinting

  • Supprimer les cookies ne permet pas de protéger parfaitement sa vie privée en ligne
  • Selon une étude récente menée par Texas A&M University, des sites web suivent les utilisateurs d’une session à l’autre et d’un site à l’autre grâce à une méthode appelée browser fingerprinting
  • Le browser fingerprinting combine diverses informations comme la résolution de l’écran, le fuseau horaire ou le modèle de l’appareil afin de créer un identifiant unique du navigateur
    • Contrairement aux cookies, il n’est pas facile pour l’utilisateur de le supprimer ou de le bloquer
    • La plupart des utilisateurs ne se rendent même pas compte que ce suivi a lieu
    • Même les navigateurs axés sur la confidentialité ont du mal à le bloquer complètement

Enquête approfondie sur le suivi web avec le framework FPTrace

  • Cela s’apparente à une signature numérique laissée à son insu
  • La seule combinaison de l’appareil et du navigateur permet de suivre facilement un utilisateur, même s’il se croit anonyme
  • L’équipe de recherche a été la première à démontrer empiriquement comment l’empreinte est réellement utilisée dans les systèmes publicitaires
    • Elle a développé un framework de mesure appelé FPTrace pour analyser l’impact de l’empreinte du navigateur sur les enchères publicitaires et les communications HTTP
    • En observant les changements des montants d’enchères, des journaux HTTP et des événements de synchronisation lorsque l’empreinte change, elle a mis en évidence la réalité de ce suivi

Résultats de l’étude et implications

  • Même si l’utilisateur supprime ou bloque les cookies, le suivi par empreinte continue de manière persistante
  • Lorsque l’empreinte est utilisée, certains sites web intègrent ces données dans le processus d’enchères publicitaires côté back-end, avec la possibilité que des informations d’identification soient aussi transmises à des tiers
  • Même si l’on choisit de refuser le suivi en vertu de lois sur la vie privée comme le RGPD en Europe ou le CCPA aux États-Unis, le suivi fondé sur l’empreinte ne s’arrête pas
  • Les chercheurs insistent sur le fait que les outils et politiques actuels de protection de la vie privée ne sont pas suffisants et appellent à des défenses techniques et institutionnelles plus solides
    • Ils espèrent que le framework FPTrace aidera à auditer si des sites web et des fournisseurs publicitaires pratiquent un suivi sans consentement

À lire aussi

1 commentaires

 
GN⁺ 2025-06-20
Avis Hacker News

  • En tant que personne travaillant dans ce domaine, j’ai l’impression qu’on parle rarement de la durée de vie réelle d’une empreinte numérique. En pratique, même des empreintes très précises n’ont souvent qu’une demi-vie de quelques jours seulement, surtout lorsqu’elles sont construites à partir de la taille de fenêtre ou des versions logicielles. Les grands réseaux publicitaires s’appuient aujourd’hui davantage sur les données de localisation. C’est aussi pour cela qu’on voit apparaître dans son fil des publicités qui semblent liées à plusieurs appareils, ou qui reflètent les centres d’intérêt de son conjoint ou de ses amis. Le ciblage est déjà très large rien qu’avec la localisation basée sur l’IP. Je trouve intéressant que FPTrace soit un framework de mesure destiné à analyser le suivi des utilisateurs par empreinte numérique, et je suis curieux de connaître leur méthodologie exacte. Je pense que les réseaux publicitaires ont plus de chances de segmenter les audiences selon la configuration des appareils que selon l’empreinte elle-même. Par exemple, les utilisateurs ayant du matériel récent et des logiciels à jour peuvent être classés dans une catégorie à « forte intention d’achat ». Même un élément simple comme le fuseau horaire peut fortement influencer les résultats des enchères publicitaires, donc la manière dont cette étude a contrôlé les variables est très importante

    • J’ai vérifié mes informations sur amiunique.org, et le site m’a bien jugé unique moi aussi, comme ma mère me l’avait toujours dit. Cela dit, il n’indique pas quels paramètres il faudrait modifier pour ne plus être unique, et parmi 58 propriétés JavaScript, 16 appartiennent à la catégorie de similarité minimale. Parmi elles, 2 dépendent directement des numéros de version et 6 concernent la taille ou la résolution de l’écran. Cela donne l’impression qu’il reste malgré tout plusieurs informations qui ne changent pas rapidement. Les valeurs exactes peuvent varier avec le temps, mais dire que la « demi-vie est de quelques jours » me semble sous-estimer l’efficacité réelle de cette technique

    • Quand une fenêtre Windows est maximisée, sa taille change très peu sauf modification de l’environnement, remplacement de l’écran ou mise à jour de l’environnement de bureau. Le matériel GPU non plus ne change pas souvent, et ses caractéristiques propres peuvent facilement être exploitées pour l’empreinte via WebGL ou WebGPU. Les polices installées ne changent pas fréquemment non plus. L’empreinte de la pile TCP est elle aussi assez stable. Avec seulement quelques-uns de ces éléments, on peut facilement relier une nouvelle empreinte à un cluster précédent même si une caractéristique individuelle a changé. Plus grave encore, si on n’efface pas en même temps les identifiants côté client comme les cookies, il devient possible d’établir clairement le lien entre deux empreintes complètement différentes

    • Le temps de traitement des interruptions matérielles et la latence associée peuvent eux aussi prendre des valeurs distinctives selon des détails comme la combinaison d’apps installées ou la version du pilote GPU. Autrement dit, il faut vraiment qu’une mise à jour ait lieu pour que la distribution change, et il est rare que toutes les distributions changent en même temps

    • Siteimprove Analytics affirme publiquement que sa technologie de suivi sans cookie est plus précise que le suivi classique fondé sur les cookies. Leur Visitor Hash est construit en hachant l’IP et les en-têtes HTTP excluant les données personnelles, comme le type de navigateur, la version, la langue ou le user agent, ce qui permettrait de résoudre le problème de « courte durée de vie » des cookies traditionnels et d’améliorer la précision des statistiques de visiteurs uniques. En revanche, ils n’utilisent que des attributs server-side et ne collectent pas d’attributs côté client. Ils reconnaissent toutefois qu’en environnement de type intranet, où de nombreux utilisateurs partagent la même IP et le même type d’appareil, plusieurs personnes peuvent se retrouver avec le même Visitor Hash et voir leurs visites fusionnées ; ils recommandent donc d’exclure ce type de domaine du suivi sans cookie

    • On peut rendre une empreinte de navigateur très robuste selon les points de données choisis, par exemple les plugins installés, la langue du contenu ou les polices. Il est possible d’ajuster dynamiquement ces points de données selon le contexte, ou de les exploiter différemment selon l’utilisateur. Et de toute façon, l’empreinte n’est qu’une partie de l’ensemble des données. Combinée à d’autres informations comme les données de localisation, elle neutralise en grande partie les limitations et les contournements. Par exemple, si une nouvelle empreinte présente 80 % de similarité avec une ancienne et apparaît depuis la même IP d’entreprise tandis que l’empreinte d’origine disparaît, il est facile de relier les deux. Les sociétés publicitaires elles-mêmes préfèrent une « stratégie au fusil de chasse » pour des raisons de coût-efficacité et de défense juridique, mais des organisations poursuivant d’autres objectifs, avec davantage de points de données, peuvent suivre les gens avec beaucoup plus de précision

  • amiunique.org souligne qu’un navigateur révèle toutes sortes d’informations, comme la résolution d’écran, le fuseau horaire ou le modèle de l’appareil, et qu’en les combinant on peut former une « empreinte ». Contrairement aux cookies, ces informations sont difficiles à supprimer ou à bloquer pour l’utilisateur, ce qui rend leur détection et leur prévention bien plus ardues. Ironiquement, plus on s’obsède à renforcer la sécurité et la confidentialité de son appareil, de son OS et de son navigateur, plus son empreinte devient distinctive. L’écosystème FOSS a une longue histoire, mais il est regrettable qu’aucun véritable navigateur open source n’ait réussi à dominer le marché. Le monopole était tout simplement trop rentable dès le départ ; personnellement, j’ai même envisagé un scraper web pour un accès hors ligne, mais j’ai conclu que ce n’était pas très pratique

    • Dire qu’« aucun vrai navigateur open source n’a jamais décollé » n’est pas exact. Firefox a été immensément populaire à une époque et a même dominé complètement le marché. Ce n’est qu’ensuite que Google l’a sapé par des pratiques déloyales

    • Il est surprenant que Firefox ait si peu fait, pendant si longtemps, pour réduire concrètement l’efficacité du suivi par empreinte. Même en 2025, il est difficile de comprendre pourquoi le navigateur envoie toujours par défaut un User Agent aussi détaillé que Mozilla/5.0 (X11; Linux x86_64; rv:139.0) .... Un site n’a absolument pas besoin de savoir que j’utilise X11 ou un Linux x86_64. Le Referer reste lui aussi activé par défaut. JavaScript peut encore découvrir la liste des polices installées sur mon système. Il faudrait un contrôle des permissions bien plus fin et des réglages par défaut plus raisonnables. Il existe des plugins pour cela, mais leur installation et leur gestion sont pénibles

    • Il existe aussi des navigateurs comme Brave qui essaient d’échapper au suivi en randomisant l’empreinte, mais je doute personnellement de leur efficacité réelle. Une autre approche consiste à se fondre dans la masse d’un environnement largement utilisé comme Tor

    • J’ai été identifié comme utilisateur unique dans deux fenêtres de navigation privée différentes. Je me demande donc si cela signifie qu’on ne peut pas relier les empreintes entre onglets privés

    • Je me demande sur quels critères Firefox serait exclu de la catégorie des « vrais navigateurs open source »

  • J’aimerais qu’il existe un test mieux conçu pour mesurer « combien de temps le suivi par empreinte continue réellement à identifier le même utilisateur », plutôt que des sites comme coveryourtracks.eff.org ou amiunique.org. Ces deux sites ne testent que l’unicité, pas la persistance. Du coup, même un générateur de nombres totalement aléatoires peut être reconnu comme une empreinte. Or, les vraies technologies de protection contre l’empreinte produisent souvent des sorties aléatoires, si bien que des navigateurs pourtant efficaces comme Tor, Safari ou LibreWolf échouent paradoxalement sur ce type de site

    • CreepJS est un site qui donne un nom, une signature, à votre empreinte et permet de vérifier lors d’une visite ultérieure si c’est toujours la même

    • J’ai entendu dire que fingerprint.com pouvait fournir ce type de « test des résultats dans le temps ». C’est l’un des meilleurs acteurs du fingerprinting as a Service, devant lequel seuls Meta et Google feraient mieux

  • Tout le monde se doutait déjà plus ou moins que « le suivi par empreinte existe réellement », mais en l’absence de preuves concrètes il était difficile de démontrer qu’un véritable « suivi inter-appareils » avait lieu. Cette étude propose un framework d’expérimentation et un protocole à grande échelle pour vérifier empiriquement si le suivi par empreinte se produit effectivement dans la publicité. La plupart des travaux précédents se contentaient de mesurer l’exécution de scripts liés à l’empreinte, ce qui ne permettait pas de savoir s’il s’agissait d’un usage à des fins de suivi ou à des fins défensives comme l’anti-bot, la prévention de fraude ou l’authentification. Cette étude est intéressante parce qu’elle modifie artificiellement l’empreinte du navigateur tout en observant l’évolution des publicités, ce qui éclaire le contexte réel du suivi (lien vers l’article). Je n’ai pas accès au texte intégral, donc je n’ai pas pu vérifier les détails plus précis

  • Les cookies sont stockés séparément pour chaque domaine à l’intérieur d’une frontière de sécurité, alors qu’une empreinte peut être calculée indépendamment du domaine. Il est donc tout à fait plausible que des serveurs publicitaires ou autres suivent et identifient un utilisateur uniquement grâce à son empreinte, et le simple fait de collecter ces informations suffit déjà à en apprendre sur la victime

  • À la question « pourquoi les navigateurs exposent-ils autant d’informations aux sites web par défaut ? »,

    • un navigateur est en soi un ensemble de sandbox d’API offrant de nombreuses fonctions. Chacune existe pour le confort de l’utilisateur et peut sembler anodine isolément, mais leur combinaison forme une empreinte unique. Si l’on veut vraiment un environnement sans empreinte, il faut en arriver à supprimer tout le JavaScript du web

    • les développeurs voulaient ces API pour fournir des fonctionnalités, et ce n’est qu’une fois la situation devenue « irréversible » que l’impact sur la vie privée a réellement retenu l’attention

    • la plupart de ces informations sont réellement utiles ou nécessaires. On peut en retirer certaines, mais pour le reste il s’agit d’« analyser comparativement les résultats du comportement ». Par exemple, si l’on rend des blocs de texte avec plusieurs font-family, leur taille réelle varie selon les polices présentes sur l’appareil, et cela devient en soi un élément d’empreinte

    • quand les navigateurs réduisent ou suppriment certaines informations, comme la version d’OS dans le user agent, cela déclenche parfois une cascade d’erreurs inattendues sur les sites. Par exemple, quand Apple a simplement fait passer le numéro de version du user agent de 10 à 11, beaucoup de sites ont cessé de fonctionner. Le champ Referer, lui, a été fortement restreint dans les navigateurs récents, par exemple en supprimant le chemin ou davantage

    • j’ai toujours eu l’impression que la direction de Mozilla manquait de réelle volonté sur les sujets de confidentialité, de sécurité et de liberté. Parfois, l’approche semblait purement marketing, avec des changements sans efficacité concrète ou soigneusement conçus pour ne pas entrer frontalement en conflit avec les intérêts des grandes entreprises tech. Je trouve aussi regrettable qu’au W3C personne ne s’y oppose vraiment avec fermeté

  • Les apps suivent les utilisateurs bien plus agressivement que les sites web. Si les sites poussent sans cesse à installer leur app, c’est parce qu’une grande partie des protections du navigateur devient inutile dans un environnement applicatif. Les apps imposent une connexion et peuvent ensuite partager librement toutes les données avec des tiers

    • Mon app, elle, ne fait pas ce genre de suivi. Je ne collecte même pas d’adresse e-mail, donc l’app est mon seul moyen de prévenir l’utilisateur d’une nouvelle notification. Une app présente aussi un avantage en matière de persistance, alors qu’un site web est relativement moins efficace

    • Sur iOS, il existe une option « Demander à l’app de ne pas suivre ». Mais elle ne bloque qu’un certain type de suivi et ne peut pas tout empêcher

  • Concernant le fait que « le suivi par empreinte est réellement largement utilisé », certains font remarquer que seuls ceux qui « n’ont pas lu la documentation hors du cadre académique » l’ignoraient, ou que « les fournisseurs de suivi responsables annoncent explicitement depuis des années qu’ils utilisent le fingerprinting »

    • l’essentiel n’est pas tant l’ignorance du monde académique ou de l’industrie, mais le fait que cette étude apporte une preuve quantitative utile de l’ampleur et de l’efficacité actuelles du suivi par empreinte. Même si les fournisseurs l’avaient déjà annoncé dans leurs politiques, cela ne renseigne pas à lui seul sur l’efficacité réelle ou l’échelle du phénomène. Si cette étude a mesuré le taux de réussite du suivi même dans des contextes publicitaires relativement bénins, cela fournit aussi une base pour estimer à quel point d’autres acteurs peuvent être efficaces

    • le monde académique savait déjà depuis des années que le suivi par empreinte était utilisé. Autrefois, on utilisait aussi largement Flash pour extraire directement la liste des polices installées chez l’utilisateur (article associé). Il faut donc corriger l’idée selon laquelle cette réalité n’aurait pas été reconnue officiellement

    • il existe aussi depuis longtemps des frameworks open source de fingerprinting comme FingerprintJS. À l’origine, ils étaient souvent utilisés pour le spam ou le suivi de visiteurs malveillants

    • protéger la vie privée en ligne est certes important, mais certains soutiennent que les contre-mesures visant à bloquer le fingerprinting ne résolvent pas vraiment le problème pratique et rendent surtout le web plus pénible à utiliser. En comparaison, même avec des règles, les acteurs malveillants continueront à pratiquer le fingerprinting, tandis que les sites ordinaires se retrouveront limités dans leurs fonctions

    • dans la recherche académique, l’objectif est de s’appuyer non pas sur les politiques ou déclarations des acteurs du secteur, mais sur des preuves empiriques concrètes, mesurables et difficilement contestables

  • Chaque fois que je vais sur la page fingerprint de l’EFF, je suis identifié comme ayant une empreinte unique. Même en y retournant une heure plus tard, cela ne change pas. J’aimerais que le site fournisse la valeur de hachage de l’empreinte pour pouvoir la comparer quelques mois plus tard. D’un autre côté, si mon empreinte change vraiment à chaque fois, c’est plutôt rassurant, car cela rendrait le suivi par empreinte bien plus difficile

  • Je trouve déprimant de voir autant d’efforts et de technologie consacrés au ciblage publicitaire. De toute façon, je bloque toutes les publicités par défaut, donc tous ces efforts de fingerprinting me paraissent vains