Browser Fingerprinting : comment les sites te pistent

Qu'est-ce que le browser fingerprinting ?

Imagine que tu entres dans un magasin avec une tenue reconnaissable : chapeau violet, veste verte, chaussures jaunes, parapluie rouge, sac bleu. Même si tu ne donnes jamais ton nom, quiconque a déjà vu cette combinaison te reconnaîtra. Le browser fingerprinting fonctionne pareil. Les sites n'ont rien besoin de stocker sur ton appareil, ils lisent simplement les caractéristiques uniques que ton browser expose et les combinent en une signature.

C'est la différence fondamentale entre cookies et fingerprints. Les cookies sont de petits fichiers que le site stocke sur ton ordinateur. Tu peux les bloquer, les effacer ou les désactiver, et tu contrôles s'ils existent. Les fingerprints se déduisent de la configuration de ton système, ils ne sont pas stockés sur ton appareil. Tu ne peux pas effacer le tien, et le browser expose automatiquement la plupart de ses composants dès que tu charges une page.

Ça devient plus important chaque année. Les grands browsers retirent les cookies tiers et les utilisateurs savent mieux bloquer les trackers. Le fingerprinting s'en moque complètement. Il fonctionne quel que soit ton réglage de cookies, en mode incognito, et persiste d'une session privée à l'autre.

Les plus de 20 points de données qui t'identifient

Ton browser révèle automatiquement beaucoup d'informations, sans rien te demander. Les quatre grandes catégories sont l'affichage et le graphisme, la configuration système, les détails du browser et les préférences utilisateur.

Affichage et graphisme couvre ta résolution d'écran et la profondeur de couleur, le constructeur et le renderer GPU, les capacités WebGL, le fingerprint Canvas (un hash de la façon dont ton appareil dessine une image précise), le nombre d'écrans et leur orientation.

Configuration système ajoute le système d'exploitation et sa version, l'architecture CPU, la RAM, l'état de la batterie et les capteurs que ton browser expose.

Détails du browser apporte le type et la version, les plugins installés, les types MIME supportés, les extensions détectables et ton réglage Do Not Track.

Préférences utilisateur contribue les préférences de langue, le fuseau horaire, les fonts installées (plus de 300 sont détectables), le fingerprint AudioContext et la présence de LocalStorage et SessionStorage.

Et voilà la partie inconfortable. Aucun point de données pris seul n'est très unique. Des millions de personnes tournent sous Chrome sur Windows en 1920×1080. Mais dès que tu combines vingt attributs ou plus, l'intersection devient incroyablement précise. Les recherches montrent que 8 à 10 attributs suffisent pour rendre ton fingerprint de browser unique parmi des millions.

Comment travaillent les scripts avancés de fingerprinting

Les scripts de tracking modernes vont bien au-delà des simples headers de browser. Ils sondent activement ton appareil, rendent des graphismes invisibles et comparent des micro-retards pour construire une signature qui survit au mode privé, aux VPN et à la plupart des bloqueurs de trackers.

Rendu Canvas et WebGL. Le script demande à ton browser de dessiner des graphismes cachés avec Canvas ou WebGL. De toutes petites différences dans ton GPU, tes drivers et ton anti-aliasing produisent un hash unique, autrement dit un fingerprint hardware. Les extensions qui bloquent l'accès au Canvas cassent souvent des sites légitimes, l'isolation reste donc la meilleure défense en pratique.

Signaux AudioContext et batterie. Même la manière dont ton appareil traite une onde sonore inaudible, ou dont il reporte le niveau de batterie, révèle des différences de fabrication. Les trackers agrègent ces micro-signaux pour stabiliser ton fingerprint quand d'autres attributs changent.

Profilage comportemental et de performance.Certains scripts chronomètrent la vitesse à laquelle ton browser exécute du code, scrolle et charge les fonts. La baseline qui en sort se comporte comme un fingerprint qui tient même quand tu bloques les attributs statiques. La seule défense fiable, c'est de basculer vers un environnement neuf.

Corrélation entre sessions. Les fingerprinters combinent ta signature d'appareil avec ton statut de login, ta plage d'IP et tes habitudes de navigation. Même quand un attribut change, leurs algorithmes de corrélation reconnectent les visiteurs récurrents avec plus de 90 % de précision. C'est pour ça que le conseil « change ton user agent » ne marche pas : il change un signal parmi des dizaines.

Le fingerprinting fonctionne par couches. Les attaquants partent du principe que tu vas bloquer certaines techniques, alors ils en accumulent plein d'autres. La seule contre-mesure fiable, c'est de basculer complètement d'environnement pour que le fingerprint qu'ils reconstruisent ne puisse plus remonter jusqu'à toi. Pour comprendre pourquoi les modes privés n'y changent rien, lis Incognito Mode Is a Lie.

À quel point ton fingerprint est-il unique ?

Les recherches de l'Electronic Frontier Foundation sur des millions de browsers ont sorti quelques chiffres qu'il faut retenir.

Dix-huit bits d'entropie, ça veut dire une unicité de 1 sur 262 144. Avec des milliards d'utilisateurs en ligne, des milliers partagent en théorie ton fingerprint exact, mais les sociétés de tracking le combinent avec l'adresse IP et les habitudes de navigation pour resserrer jusqu'à toi précisément.

Teste ton propre fingerprint en cinq minutes

Le moyen le plus rapide de saisir le problème, c'est de le mesurer toi-même. Ce workflow prend quelques minutes et ne demande aucun outil spécial.

1. 1

   Passe par un test de fingerprint sérieux

   Essaie coveryourtracks.eff.org ou browserleaks.com. Les deux tournent localement dans ton browser et montrent ce qu'un tiers verrait.
2. 2

   Note le score d'unicité et les attributs

   Repère tout ce qui sort du lot : fonts installées, détails hardware précis, valeurs AudioContext.
3. 3

   Refais le test dans Browser.lol

   Lance une session neuve et refais le même test. Tu verras un fingerprint complètement différent, qui disparaît à la fin de la session.
4. 4

   Compare les deux rapports

   Tout ce qui reste identique entre les environnements est lié à ton réseau, en général ton IP. Un VPN couvre ça. L'isolation couvre le reste.

Qui te fingerprint, et pourquoi

Le fingerprinting n'est pas une entreprise, c'est une industrie. Quatre groupes dominent. Les réseaux publicitaires comme Google, Meta et Amazon te suivent à travers des millions de sites pour construire des profils pub, et ton fingerprint te suit d'un domaine à l'autre. Les fournisseurs d'analytics (Google Analytics, Hotjar, Mixpanel) s'en servent pour compter des visiteurs uniques même quand les cookies sont bloqués, et revendent les données aux propriétaires de sites.

Les systèmes antifraude des banques et des sites e-commerce utilisent le fingerprinting légitimement, pour détecter les logins suspects. Un changement soudain de fingerprint déclenche des alertes de sécurité. C'est un cas d'usage raisonnable, qui n'en crée pas moins un enregistrement permanent des caractéristiques de ton appareil, rattachées à ton identité.

Et puis il y a les data brokers (Acxiom, Experian, Oracle) qui achètent et revendent des données d'appareil. Ton fingerprint devient une pièce d'un dossier revendu des centaines de fois à des marketeurs, des assureurs et des employeurs.

Les défenses qui marchent vraiment

La plupart des gens se croient protégés parce qu'ils utilisent des outils de privacy. Voici la vérité inconfortable sur ce que chacun fait vraiment face au fingerprinting.

Tor Browser est spécifiquement conçu pour défaire le fingerprinting en faisant en sorte que tous les utilisateurs se ressemblent. Ça fonctionne, mais c'est lent, beaucoup de sites le bloquent et c'est overkill pour la navigation normale. Tu ne l'utiliserais pas pour faire tes courses sur Amazon ou checker les réseaux sociaux.

Ce qu'il faut retenir, c'est qu'on ne peut pas cacher son fingerprint en navigant normalement. Ce qui marche, c'est d'en utiliser un nouveau à chaque fois. Un browser jetable et isolé te donne une signature totalement différente à chaque lancement, sans aucun lien avec ta vraie identité ni avec tes autres sessions.

Reprends ta privacy en main

Le browser fingerprinting marque un vrai virage dans la manière dont fonctionne le tracking. La vieille recette (bloquer les cookies, passer en incognito, effacer les données) a été pensée pour les cookies, pas pour une identification par l'appareil. Dans le web qu'on a aujourd'hui, où le fingerprinting est devenu la norme, elle ne tient plus.

Ce qui marche, c'est une approche à plusieurs niveaux. Pour le quotidien, tu restes sur ton browser habituel avec des bloqueurs de trackers, tu acceptes une part de tracking et tu la limites où c'est possible. Pour les usages sensibles (recherche, shopping, veille concurrentielle), tu passes par une session isolée pour que le fingerprint ne te suive pas. Pour l'anonymat maximal, combine isolation et VPN : l'isolation bloque le fingerprinting, le VPN masque ton IP.