Vous avez bloqué les cookies. Vous êtes toujours traqué — Explication du browser fingerprinting
La bannière de consentement aux cookies est devenue le modèle d'interface utilisateur définissant du web moderne après l'entrée en vigueur du GDPR en 2018. Cliquez sur « Tout refuser », soyez satisfait, passez à autre chose. Ce que la plupart des utilisateurs ignorent, c'est que l'industrie de la publicité et de l'analyse a déjà évolué aussi — vers le fingerprinting, une technique de traçage qui n'utilise pas de cookies, ne stocke rien sur votre appareil et ne nécessite aucun consentement selon la plupart des cadres juridiques actuels.
Ce qu'est réellement le browser fingerprinting
Chaque navigateur révèle une quantité énorme d'informations sur lui-même et sur l'appareil sur lequel il fonctionne — non pas par le biais d'une vulnérabilité de sécurité, mais par le fonctionnement normal des standards du web. Votre navigateur signale sa chaîne user agent (nom du navigateur, version, OS), les polices installées sur votre système, la résolution et la profondeur de couleur de votre écran, votre fuseau horaire, les plugins et extensions installés, la manière dont votre GPU rend des opérations graphiques spécifiques (canvas fingerprinting), la manière dont votre matériel audio traite des formes d'onde spécifiques (audio fingerprinting) et des dizaines d'autres attributs.
Aucun attribut unique ne vous identifie de manière unique. Mais combinés, ils forment une empreinte statistiquement unique dans une large fraction des cas. Les recherches du projet Panopticlick de l'Electronic Frontier Foundation ont montré que la combinaison navigateur, OS, résolution d'écran, fuseau horaire et plugins installés rendait 83,6 % des navigateurs identifiables de manière unique. Les systèmes de fingerprinting modernes utilisent 50 à 100+ attributs et atteignent des taux d'unicité considérablement plus élevés.
Canvas et WebGL : Les signaux les plus puissants
Le canvas fingerprinting exploite le fait que différentes combinaisons de GPU, driver, OS et rendu de polices produisent des sorties de pixels légèrement différentes lorsqu'elles dessinent la même forme ou le même texte. Un script de fingerprinting rend du texte et des formes invisibles sur un élément canvas HTML5, lit les valeurs des pixels et hache le résultat. Ce hachage est stable d'une session à l'autre — il ne change pas lorsque vous effacez les cookies, utilisez la navigation privée ou redémarrez votre navigateur — et est hautement unique car les pipelines de rendu GPU varient au niveau du matériel et du driver.
Le WebGL fingerprinting étend cela au rendu 3D : les scripts interrogent la chaîne spécifique du renderer GPU (par exemple, « ANGLE (Intel, Intel(R) UHD Graphics 620 Direct3D11 vs_5_0 ps_5_0) »), rendent des scènes WebGL et lisent le framebuffer résultant. La combinaison du fabricant du GPU, du modèle, de la version du driver et de la sortie de rendu réduit davantage l'empreinte.
Pourquoi c'est légal (pour l'instant)
Le GDPR et le CCPA définissent tous deux les « données personnelles » comme des informations pouvant identifier une personne physique. Les empreintes n'identifient pas directement une personne — elles identifient une combinaison appareil/navigateur. La question juridique est de savoir si une empreinte, combinée à d'autres données, peut être liée à une personne physique, ce qui la placerait sous le champ d'application du GDPR. Le Groupe de travail Article 29 (désormais le Comité européen de la protection des données) a déclaré que le fingerprinting constitue probablement un traitement de données personnelles au sens du GDPR. Mais son application a été limitée — les régulateurs ont été préoccupés par des violations plus évidentes, et le fingerprinting est techniquement complexe à auditer dans les procédures d'application.
Le risque juridique émergent est au titre de l'article 25 du GDPR (protection des données dès la conception) et des mises en œuvre nationales qui ont commencé à considérer le fingerprinting comme nécessitant un consentement. La CNIL française a explicitement statué en 2020 que le fingerprinting nécessite un consentement. Les autorités allemandes de protection des données ont adopté des positions similaires. Mais la mise en œuvre et l'application sont en retard sur la technologie.
Ce qui réduit réellement le fingerprinting
C'est là que le tableau est plus nuancé que « rien ne fonctionne ». Plusieurs approches ont un effet réel :
Tor Browser normalise délibérément l'empreinte — il fait en sorte que chaque utilisateur de Tor signale les mêmes attributs, éliminant ainsi l'unicité. Le coût est important : les performances JavaScript sont réduites, de nombreux sites sont cassés et l'expérience de navigation est visiblement dégradée. Mais c'est la seule approche qui traite le fingerprinting de manière exhaustive au niveau du protocole.
La protection contre le fingerprinting de Firefox (activée en mode strict via Enhanced Tracking Protection) applique une randomisation de l'empreinte — elle introduit un bruit contrôlé dans les API canvas, WebGL et autres API à haute entropie, rendant l'empreinte instable entre les sessions. Cela ne vous rend pas intraçable mais brise la stabilité qui rend les empreintes utiles pour le traçage entre sessions.
Brave Browser utilise une approche de randomisation similaire, avec l'étape supplémentaire de bloquer les scripts de fingerprinting connus. Des recherches indépendantes ont constaté que la protection contre le fingerprinting de Brave est parmi les plus efficaces dans les navigateurs grand public.
Bloquer JavaScript élimine le fingerprinting par canvas et WebGL mais casse essentiellement tous les sites web modernes.
La position réaliste pour la plupart des utilisateurs : un navigateur grand public avec protection contre le fingerprinting activée (mode strict de Firefox ou Brave) réduit considérablement l'efficacité du fingerprinting sans nécessiter la friction au niveau de Tor. Cela ne vous rendra pas invisible pour les traqueurs déterminés, mais cela augmente suffisamment le coût de la corrélation entre sessions pour avoir de l'importance pour le traçage de niveau publicitaire.