L’empreinte de navigateur : comment les sites vous reconnaissent sans témoins

Vous pouvez effacer vos témoins (cookies), ouvrir une fenêtre privée et refuser toutes les bannières, et un site peut quand même savoir que c’est vous. Cette technique s’appelle l’empreinte de navigateur (browser fingerprinting), et nous pensons que c’est l’une des façons les plus injustes de suivre les gens en ligne. Pas parce qu’elle est astucieuse, mais parce qu’elle vous enlève la seule chose que les témoins vous laissaient : une façon de dire non.

Ce billet explique comment elle fonctionne, qui s’en sert et ce que vous pouvez raisonnablement faire.

Qu’est-ce qu’une empreinte de navigateur

Un témoin est un petit fichier qu’un site enregistre dans votre navigateur. Vous pouvez le voir, le bloquer et le supprimer, et à bien des endroits, les sites doivent demander la permission avant d’en placer un pour la publicité.

Une empreinte n’enregistre rien sur votre appareil. Un script lit plutôt des détails que votre navigateur expose déjà (taille d’écran, fuseau horaire, polices, puce graphique et des dizaines d’autres) et les combine en un identifiant. Le Bureau du commissaire à l’information du Royaume-Uni (ICO) la décrit comme la collecte d’éléments d’information sur le logiciel ou le matériel d’un appareil qui, combinés, peuvent identifier de façon unique un appareil et son utilisateur.

Toute la différence est là :

• Il n’y a rien à supprimer. Effacer vos témoins ne change ni vos polices ni votre carte graphique. L’EFF compare les témoins à une étiquette qui finit par tomber, et l’empreinte au fait de reconnaître une voiture par sa marque, son modèle, sa couleur et sa plaque : des caractéristiques « plus difficiles à changer et impossibles à supprimer ».
• La navigation privée ne l’arrête pas. Les modes privé et incognito gardent l’historique hors de votre ordinateur. Ils n’ont jamais été conçus pour vous cacher des sites que vous visitez. Selon Mozilla, l’empreinte peut « vous suivre pendant des mois, même en mode de navigation privée, quel que soit le navigateur ».
• Aucune bannière, aucune demande de permission. Comme l’a écrit le chercheur Pierre Laperdrix sur le blogue du Tor Project, n’importe quel script sur une page peut construire en silence une empreinte de votre appareil sans même que vous le sachiez.

Même Google était d’accord. En 2019, l’entreprise écrivait que les utilisateurs ne peuvent pas effacer leur empreinte et ne peuvent donc pas contrôler la collecte de leurs renseignements : « Nous pensons que cela contourne le choix de l’utilisateur et que c’est mal. » (Nous verrons plus bas ce que Google a fait ensuite.)

Ce qui compose une empreinte

Aucun de ces détails n’est secret, et la plupart existent pour de bonnes raisons. Un appel vidéo doit savoir que vous avez une caméra; un calendrier a besoin de votre fuseau horaire. Le problème, c’est que n’importe quel script peut les lire, pour n’importe quelle raison.

Trois de ces signaux méritent qu’on s’y attarde, parce que ce sont ceux auxquels on a le plus de mal à croire.

Canvas, WebGL et l’audio ne demandent pas à votre navigateur ce qu’il est. Ils lui demandent de faire quelque chose, puis mesurent le résultat. Des chercheurs ont montré en 2012 que les dessins canvas diffèrent d’une machine à l’autre de façon constante, et l’équipe de Princeton derrière une étude portant sur un million de sites en 2016 a trouvé la version audio utilisée en situation réelle. Comme ces différences viennent de votre matériel et de vos pilotes, changer les réglages du navigateur ne les fait pas disparaître.

Les empreintes réseau se produisent avant même le chargement d’une page. Quand votre navigateur ouvre une connexion sécurisée, la façon exacte dont il se présente (quelles options de chiffrement il propose, dans quel ordre) forme un motif. Des méthodes appelées JA3 et son successeur JA4 transforment ce motif en un court code, et les paramètres qu’un navigateur envoie en HTTP/2 peuvent être identifiés de la même façon. Soyons justes : à elles seules, ces empreintes révèlent surtout le logiciel que vous utilisez, pas qui vous êtes, et elles sont un outil de base de la détection des robots. Mais elles fonctionnent même avec JavaScript désactivé, et elles s’ajoutent au reste.

Comment de petits détails finissent par vous désigner

Chaque détail, pris seul, est partagé par des millions de personnes. Beaucoup de gens utilisent Windows. Beaucoup sont dans le fuseau des Rocheuses. Beaucoup moins utilisent Windows, dans ce fuseau, avec le français comme deuxième langue, une puce graphique précise et une police inhabituelle installée par un logiciel de design.

Les chercheurs mesurent cela en bits d’entropie. Chaque bit coupe en deux la foule dans laquelle vous pourriez vous cacher. Dix bits vous ramènent à environ une personne sur mille; 20 bits, à environ une sur un million. Environ 33 bits suffisent, en théorie, pour distinguer une personne parmi les quelque huit milliards d’humains.

Ce que la recherche a trouvé :

• L’étude Panopticlick de l’EFF, en 2010, a établi que 83,6 % de 470 161 navigateurs avaient une empreinte unique, avec au moins 18,1 bits d’entropie.
• L’étude AmIUnique, publiée en 2016, a trouvé que 89,4 % de 118 934 empreintes étaient uniques, et a montré que canvas comptait parmi les signaux les plus révélateurs.
• Les deux études reposaient sur des volontaires venus tester un site de confidentialité, et leurs auteurs ont souligné que leurs données penchaient vers des gens soucieux de leur vie privée. Une étude de suivi en 2018, portant sur plus de deux millions de visiteurs d’un grand site français, a obtenu un chiffre bien plus bas : 33,6 % d’empreintes uniques. Elle a aussi montré que les empreintes non uniques étaient fragiles : changez une ou deux caractéristiques et elles devenaient souvent uniques.

Les empreintes changent aussi, au fil des mises à jour du navigateur. Mais c’est une protection plus mince qu’il n’y paraît. Eckersley a constaté qu’une règle simple devinait correctement, dans 99,1 % des cas, quelle nouvelle empreinte appartenait à un navigateur déjà vu, et des travaux plus récents ont montré qu’on peut relier des empreintes changeantes pendant des mois. Les pisteurs utilisent d’ailleurs rarement l’empreinte seule. Combinée à votre adresse IP, elle devient beaucoup plus précise.

En résumé, honnêtement : tout le monde n’est pas unique, mais beaucoup de gens le sont, et vous ne pouvez pas facilement savoir dans quel groupe vous êtes.

D’un appareil à une personne

Une empreinte identifie un navigateur, pas un nom. Elle devient vous quand on la relie à quelque chose qui vous identifie.

• Connexions et formulaires. Dès que vous vous connectez, achetez quelque chose ou tapez votre courriel dans une case d’infolettre, l’appareil et l’identité se rencontrent. Une étude de 2022 portant sur les 100 000 sites les plus visités a trouvé des pisteurs qui recueillaient les adresses courriel saisies dans des formulaires avant même qu’on appuie sur Envoyer, sur 1 844 sites depuis l’Union européenne et 2 950 depuis les États-Unis.
• Faire revenir les témoins. Quand vous effacez vos témoins, une empreinte peut indiquer à un pisteur que le « nouveau » visiteur est l’ancien, et ainsi relier de nouveau votre historique. Des chercheurs notent que les empreintes peuvent servir à régénérer ou dédoublonner des témoins, et ont constaté qu’environ un fournisseur d’empreintes sur six synchronisait aussi des témoins avec d’autres entreprises de publicité.
• D’un appareil à l’autre. Le rapport de la Federal Trade Commission américaine sur le suivi multiappareil décrit des entreprises qui associent téléphones, ordinateurs et téléviseurs, soit par des connexions communes, soit par déduction à partir de signaux comme une adresse IP partagée, des habitudes de navigation et des empreintes d’appareil.
• Dans les profils des courtiers en données. Dans une étude de 2014 portant sur neuf courtiers, la FTC a constaté qu’ils combinent des données en ligne et hors ligne pour cibler les consommateurs en ligne : achats en magasin, abonnements à des magazines et autres, associés aux identifiants qui suivent les gens sur le Web.

Rien de tout cela n’exige une empreinte parfaite. Il suffit qu’elle soit assez bonne pour relier une base de données à une autre.

Qui s’en sert

L’empreinte n’a rien de rare. Une étude publiée en 2021, à partir de données recueillies en 2019, a trouvé des scripts d’empreinte sur 10,18 % des 100 000 sites les plus visités et sur 30,6 % des 1 000 premiers. Les sites de nouvelles arrivaient en tête. Parmi les fournisseurs les plus répandus figuraient des entreprises de vérification publicitaire et de lutte contre la fraude, aux côtés de services qui participent aussi au suivi d’un site à l’autre.

Puis, en décembre 2024, Google a annoncé aux annonceurs qu’à partir du 16 février 2025, elle n’interdirait plus l’empreinte dans ses produits publicitaires. L’ICO a qualifié ce changement d’« irresponsable » et averti que l’empreinte pourrait désormais remplacer les fonctions des témoins tiers. Le Bureau a rappelé que les entreprises doivent toujours obtenir le consentement quand la loi l’exige et que, pour la publicité, respecter la loi place la barre haut.

L’argument de la fraude, honnêtement

L’empreinte a un véritable usage défensif, et il faut le dire. Les banques utilisent des signaux d’appareil pour repérer une connexion depuis une machine inconnue. Les billetteries et les boutiques s’en servent pour détecter les robots. Les fournisseurs antifraude les utilisent pour attraper les faux clics publicitaires. Une partie de tout cela vous protège.

Mais vérifier un appareil pour protéger l’accès à votre banque, c’est bien différent d’utiliser la même technique pour vous suivre d’un site à l’autre afin de vous profiler et de vous vendre de la publicité. Le premier usage se produit à un moment que vous voyez, pour une raison que vous accepteriez. Le second se produit partout, de façon invisible, sans possibilité de refuser.

Les autorités tracent la même ligne. Le Commissariat à la protection de la vie privée du Canada indique que si les gens ne peuvent pas refuser une technologie de suivi, elle ne devrait pas être utilisée du tout pour la publicité comportementale, et cite l’empreinte d’appareil en exemple. Nous sommes d’accord. La sécurité n’est pas un chèque en blanc pour la surveillance.

Ce que vous pouvez faire

Vous ne pouvez pas rendre l’empreinte impossible. Vous pouvez la rendre beaucoup moins utile.

Choisissez un navigateur qui se bat pour vous

Une protection intégrée vaut mieux que tout ce que vous ajoutez vous-même, parce qu’elle est partagée par beaucoup de gens et testée contre de vrais pisteurs.

• Tor Browser est l’option la plus solide. Il cherche à rendre tous ses utilisateurs identiques : il uniformise l’agent utilisateur, limite les polices et arrondit la fenêtre à des tailles fixes (le letterboxing) pour que votre écran ne vous trahisse pas. Il fait aussi passer votre trafic par le réseau Tor, ce qui cache votre adresse IP. En contrepartie, c’est plus lent, et certains sites bloquent les utilisateurs de Tor ou leur imposent des vérifications.
• Brave adopte par défaut l’approche inverse. Il ajoute un léger bruit aléatoire (le farbling) à des valeurs comme le rendu canvas et audio, avec une graine différente pour chaque site et chaque session : le même navigateur paraît différent à chaque site, et change encore après un redémarrage.
• Firefox bloque les pisteurs d’empreinte connus grâce à sa protection renforcée contre le pistage. Firefox 145 (novembre 2025) a ajouté des protections plus larges, d’abord en navigation privée et en mode strict, qui selon Mozilla réduisent de près de moitié la part des utilisateurs qui paraissent uniques. Il existe aussi un réglage caché, plus strict, appelé privacy.resistFingerprinting, qui reprend des protections conçues pour Tor Browser. Attendez-vous à ce qu’il brise des choses : comme le souligne Mozilla, les calendriers et les outils de visioconférence ont légitimement besoin de votre vrai fuseau horaire, et les protections plus strictes les gênent. C’est seulement pour qui est prêt à composer avec ça.
• Safari 26 empêche désormais les scripts d’empreinte connus de lire de façon fiable des éléments comme la taille d’écran, le nombre de cœurs, le rendu audio et canvas.

Se fondre dans la masse, ou changer sans cesse

Il existe deux stratégies, et il est utile de savoir laquelle vous utilisez.

• Se fondre dans la masse (Tor Browser) : ressembler exactement à tous les autres utilisateurs du même navigateur, pour qu’on ne puisse pas vous distinguer. Ça fonctionne mieux quand beaucoup de gens partagent les mêmes réglages, ce qui explique pourquoi Tor Browser ne vous laisse pas choisir le système d’exploitation que vous semblez utiliser.
• Rendre aléatoire (Brave) : paraître différent chaque fois, pour que l’empreinte d’aujourd’hui ne corresponde pas à celle d’hier. Une empreinte qui ne se répète jamais est inutile pour suivre quelqu’un, même si elle est unique.

Les deux sont raisonnables. Ce qui ne fonctionne pas, c’est un mélange à moitié bricolé soi-même.

N’empilez pas les extensions

On est tenté d’installer toutes les extensions de confidentialité qu’on trouve. Mais les extensions changent le comportement du navigateur, et ces changements peuvent se détecter. L’EFF prévient que vos protections peuvent faire de vous un « utilisateur mystère doté d’une combinaison très particulière de protections ». Une extension qui falsifie votre agent utilisateur mais oublie un autre réglage crée une combinaison qui n’existe nulle part ailleurs, ce qui vous rend plus facile à repérer.

Un ou deux outils bien connus, c’est correct. Un bon bloqueur de pisteurs, comme Privacy Badger de l’EFF ou celui intégré à votre navigateur, empêche beaucoup de scripts d’empreinte de se charger, ce qui aide davantage que d’essayer de déguiser ce qu’ils verraient.

Testez-vous

L’outil Cover Your Tracks de l’EFF montre à quoi ressemble votre navigateur pour les pisteurs : s’il les bloque, et si votre empreinte est unique, aléatoire ou partagée avec beaucoup d’autres. Deux conseils pour lire les résultats :

• « Unique » sur un site de test n’est pas un verdict sur toute votre vie en ligne. Ce résultat vous compare aux visiteurs de ce site.
• Avec Brave, un résultat « aléatoire » est l’objectif. Avec Tor Browser, l’objectif est de ressembler aux autres utilisateurs de Tor Browser.

Connaissez les limites

Rien de tout cela n’est parfait. Votre adresse IP, les empreintes réseau et tout compte auquel vous vous connectez peuvent encore relier vos visites. Les lignes directrices du W3C destinées aux concepteurs de normes Web qualifient elles-mêmes d’« invraisemblable » l’élimination complète de l’empreinte par des moyens techniques seulement. Le but n’est pas de devenir invisible. C’est de cesser d’être facile et peu coûteux à suivre.

La place de Frame

Frame ne bloque pas l’empreinte de navigateur. C’est le rôle de votre navigateur, et les navigateurs ci-dessus le font bien mieux qu’un service ne le pourrait.

Frame aide plutôt à l’autre bout de la chaîne : les sites de recherche de personnes et les courtiers en données, là où les données de suivi et les identités réelles finissent par se rejoindre. Frame cherche vos fiches sur les sites de recherche de personnes et vous aide à envoyer les demandes de retrait que vous approuvez, pour qu’il y ait moins de vous à associer à un appareil.

Pourquoi c’est important, et ce qui devrait changer

Les témoins n’ont jamais été formidables pour la vie privée, mais ils venaient avec des contrôles : on pouvait les voir, les bloquer et les supprimer, et la loi pouvait exiger un consentement. L’empreinte supprime tout cela. Si elle remplace les témoins pour la publicité, nous aurons discrètement échangé un système de suivi que les gens peuvent en partie contrôler contre un système qu’ils ne contrôlent pas.

Ça n’a pas à se passer ainsi. Voici ce qui devrait arriver, selon nous :

• Les autorités devraient interdire l’empreinte à des fins publicitaires sans véritable consentement, et faire respecter cette règle. L’ICO et le Commissariat canadien ont déjà dit que la loi s’applique. Il reste à agir.
• Les fabricants de navigateurs devraient continuer à réduire ce que les sites peuvent lire, en suivant les lignes directrices du W3C (n’exposer que ce dont une fonction a réellement besoin), et activer les protections par défaut plutôt que de les réserver aux modes privés.
• Google devrait revenir sur sa politique de 2025. Ses propres mots de 2019 étaient justes : l’empreinte contourne le choix de l’utilisateur, et c’est mal.
• Les usages de sécurité devraient rester des usages de sécurité. Les signaux d’appareil recueillis pour arrêter la fraude ne devraient pas être réutilisés pour la publicité ni revendus.

D’ici là, un bon navigateur et quelques habitudes vont loin. Vous n’avez pas besoin d’être invisible. Il suffit d’être plus difficile à suivre que ça n’en vaut la peine.

Sources

• Information Commissioner’s Office (Royaume-Uni), Our response to Google’s policy change on fingerprinting (en anglais), 19 décembre 2024
• Commissariat à la protection de la vie privée du Canada, Lignes directrices sur la protection de la vie privée et la publicité comportementale en ligne
• Google, Building a more private web (en anglais), août 2019
• Electronic Frontier Foundation, Cover Your Tracks et How do trackers work? (en anglais)
• Peter Eckersley (EFF), How Unique Is Your Web Browser? (en anglais), Privacy Enhancing Technologies Symposium, 2010
• Pierre Laperdrix, Walter Rudametkin et Benoit Baudry, Beauty and the Beast: Diverting modern web browsers to build unique browser fingerprints (l’étude AmIUnique, en anglais), IEEE Symposium on Security and Privacy, 2016
• Alejandro Gómez-Boix, Pierre Laperdrix et Benoit Baudry, Hiding in the Crowd: an Analysis of the Effectiveness of Browser Fingerprinting at Large Scale (en anglais), The Web Conference, 2018
• Antoine Vastel et coll., FP-STALKER: Tracking Browser Fingerprint Evolutions (en anglais), IEEE Symposium on Security and Privacy, 2018
• Umar Iqbal, Steven Englehardt et Zubair Shafiq, Fingerprinting the Fingerprinters: Learning to Detect Browser Fingerprinting Behaviors (en anglais), IEEE Symposium on Security and Privacy, 2021
• Steven Englehardt et Arvind Narayanan, Online Tracking: A 1-million-site Measurement and Analysis (en anglais), ACM CCS, 2016
• Keaton Mowery et Hovav Shacham, Pixel Perfect: Fingerprinting Canvas in HTML5 (en anglais), W2SP, 2012
• Łukasz Olejnik, Steven Englehardt et Arvind Narayanan, Battery Status Not Included: Assessing Privacy in Web Standards (en anglais), IWPE, 2017
• Asuman Senol et coll., Leaky Forms: A Study of Email and Password Exfiltration Before Form Submission (en anglais), USENIX Security, 2022
• Federal Trade Commission, Cross-Device Tracking: An FTC Staff Report (en anglais), janvier 2017
• Federal Trade Commission, Data Brokers: A Call for Transparency and Accountability (en anglais), mai 2014
• W3C Privacy Working Group, Mitigating Browser Fingerprinting in Web Specifications (en anglais), septembre 2025
• Mozilla, Firefox expands fingerprint protections (en anglais), 10 novembre 2025, et Browser fingerprinting protection in Firefox (en anglais)
• The Tor Project, How Tor Browser protects you against browser fingerprinting (en anglais), et Pierre Laperdrix, Browser Fingerprinting: An Introduction and the Challenges Ahead (en anglais), 4 septembre 2019
• Brave, Fingerprinting Protections et Fingerprinting defenses 2.0 (en anglais)
• WebKit, WebKit Features in Safari 26.0 (en anglais)
• MDN, User-Agent Client Hints API (en anglais)
• John Althouse (Salesforce), Open Sourcing JA3 (en anglais), 2017, et FoxIO, JA4+ network fingerprinting (en anglais)
• Elad Shuster (Akamai), Passive Fingerprinting of HTTP/2 Clients (en anglais), Black Hat Europe, 2017