Depuis dix-sept ans, je protège des personnes sur le terrain. Aujourd’hui, un navigateur et un téléphone peuvent révéler en quelques secondes des informations qu’une surveillance physique mettrait bien plus longtemps à réunir. Voici ce que votre appareil expose et les habitudes qui permettent de réduire cette trace.
L'homme que nous n'avons jamais suivi, mais qui savait tout de lui
Il y a quelques années, nous protégions un client persuadé que quelqu'un le suivait. Nous avons utilisé la procédure standard: vérifié les environs de son domicile, ses itinéraires, les voitures derrière nous. Rien. Pas de voiture, pas de visage apparaissant deux fois. Et pourtant, l’autre côté savait toujours où le client allait. Il nous a fallu un moment pour réaliser que la surveillance n'avait pas lieu dans la rue, mais dans sa poche. Son téléphone et son ordinateur portable en révélaient plus sur lui que ce qu'une équipe entière de personnes aurait pu découvrir en une semaine de travail sur le terrain.
Après dix-sept ans en protection rapprochée, je suis habitué à lire un environnement. Qui regarde, qui se retourne, quelle fenêtre n'est pas vide par hasard. Mais le monde a évolué. Aujourd’hui, on peut en apprendre davantage sur une personnalité publique grâce à son empreinte numérique que grâce à la surveillance physique. Et ce qui me frappe le plus, c’est ceci: la plupart de ces informations s’échappent automatiquement, sans que vous cliquiez sur quoi que ce soit. Ouvrir une page Web suffit.
C'est précisément pourquoi nous avons créé notre court test d'exposition numérique. Il vérifie vingt choses que votre appareil dit à votre sujet en quelques secondes et vous attribue un score. Cet article est son compagnon. Calmement et sans tactique alarmiste, je vous expliquerai ce que signifie chaque point et ce que vous pouvez faire de manière réaliste à ce sujet.
D'où vous appelez et si la ligne est verrouillée
Je vais commencer par le point le plus fondamental. Dès que vous ouvrez un site Web, vous révélez votre adresse IP. Considérez-le comme l'adresse de retour sur une lettre. Il indique aux autres quel réseau et fournisseur vous utilisez, et à peu près où vous vous trouvez, jusqu'au niveau de la ville. En protection rapprochée, la localisation est sensible. Si quelqu'un peut déduire d'où un client se connecte, il peut souvent déduire où ce client vit ou travaille.
Le deuxième problème est de savoir si votre connexion est chiffrée. Il s'agit du HTTPS au début de l'adresse ; certains navigateurs l'affichent sous la forme d'un cadenas, tandis que Chrome affiche désormais une icône de paramètres à côté de l'adresse. Sans chiffrement, les données circulent ouvertement entre vous et le site Web, et toute personne se trouvant sur le chemin, par exemple sur le Wi-Fi public d'un hôtel, peut les lire. Je le vois comme une portière de voiture verrouillée. Une précaution élémentaire, mais que beaucoup de gens négligent encore.
Certains appareils et navigateurs peuvent également révéler le type de connexion que vous utilisez. Ils indiquent si vous utilisez les données mobiles ou le Wi‑Fi, ainsi que la vitesse approximative de la connexion. Cela semble mineur, mais les données mobiles suggèrent souvent que vous voyagez, tandis que le Wi-Fi domestique suggère fortement que vous êtes à la maison ou au travail. Ce sont des informations discrètes sur vos mouvements. Sur les téléphones, même le niveau de la batterie peut être lu. Cela semble inoffensif, mais combiné à d’autres détails, le pourcentage est un autre petit marqueur grâce auquel vous pouvez être reconnu et suivi à travers les pages pendant un certain temps. Firefox et Safari ont complètement fermé ce canal; Chrome l'expose malheureusement toujours, ce qui est une raison supplémentaire pour laquelle le choix de votre navigateur est important, et j'y reviendrai ci-dessous.
La trace que vous ne pouvez pas effacer, même lorsque vous supprimez tout
C’est là que commence la partie la plus intéressante et la moins comprise. Il existe une technique qui peut vous identifier même si vous supprimez les cookies, désactivez les connexions et vous cachez derrière un VPN. C’est ce qu’on appelle la prise d’empreintes digitales. Le principe est simple: chaque appareil est légèrement différent, et des dizaines de petites différences peuvent être combinées en une signature presque unique.
Voici comment cela fonctionne en pratique. Un site Web demande à votre navigateur de dessiner une image ou un texte sur un canvas invisible. En fonction de votre carte graphique, des pilotes et des polices, le résultat est légèrement différent sur chaque appareil. C’est ce qu’on appelle une empreinte canvas. La puce graphique peut être utilisée de manière similaire via WebGL, en testant la façon dont votre appareil restitue une scène en trois dimensions. Même le son peut être utilisé : le navigateur calcule une tonalité inaudible et de subtiles différences de traitement créent une empreinte audio via AudioContext.
Votre écran est également patient. Sans un mot, il indique sa résolution et sa profondeur de couleur, c'est-à-dire le nombre de pixels dont il dispose et le nombre de couleurs qu'il peut afficher. La combinaison de « ce moniteur précis, avec ces paramètres, associé à cette carte graphique et à cette puce audio » est étonnamment rare. Même moi, je n'aurais pas cru à quel point cela pouvait facilement vous sortir du lot. C'est comme reconnaître quelqu'un non pas par son nom, mais par sa démarche, sa posture et la façon dont il s'assoit. Rien de tout cela ne change simplement parce que vous portez un manteau différent.
Ce qui vous révèle même lorsque vous vous cachez derrière un VPN
Beaucoup de gens achètent un VPN et pensent que le travail est fait. Un VPN est un bon outil, et je le recommande moi-même, mais ce n’est pas une cape d’invisibilité. Il existe plusieurs canaux par lesquels votre véritable identité peut malgré tout être divulguée.
Le premier est WebRTC. C’est la technologie qui alimente les appels vidéo directement dans un navigateur, et elle présente un trait désagréable: elle peut révéler votre véritable adresse IP même lorsque vous utilisez un VPN. Cela dépend du navigateur, de ses paramètres et de la manière dont le VPN lui-même gère la fuite. J'ai vu un client dont le VPN était activé alors que l’adresse IP de sa connexion domestique restait exposée, tout simplement parce que personne n'était au courant de cette fuite. Le deuxième canal est le fuseau horaire. Un VPN peut réécrire votre position dans un autre pays, mais l'horloge de votre ordinateur affiche toujours l'heure d'Europe centrale, ce qui révèle la région. La troisième est la liste des langues définie dans le navigateur. La langue placée en tête de liste peut révéler votre région ou votre profil linguistique.
Et enfin, l'appareil rapporte également ses propres performances: combien de cœurs de processeur il possède et approximativement combien de RAM. En soi, cela ne mettra personne en danger, mais il s’agit d’un autre élément de la mosaïque des empreintes digitales. Plus ces petits détails s’alignent, plus ils peuvent dire avec confiance que derrière la nouvelle connexion, c’est encore vous.
Traceurs, cookies et signaux ignorés
Lorsque vous ouvrez un site d’information ordinaire, vous communiquez rarement uniquement avec lui. En arrière-plan, des éléments de suivi tiers se chargent. Les sociétés de publicité et d'analyse les utilisent pour surveiller les pages que vous visitez et créer un profil sur vous. Un bloqueur de suivi est donc l’un des outils les plus efficaces dont vous puissiez disposer. Il bloque la plupart de ces observateurs silencieux avant même qu’ils n’aient la possibilité de charger.
Il existe également un moyen décent de dire « Je ne veux pas être suivi »: le signal Global Privacy Control, ou GPC. Votre navigateur les envoie aux sites Web pour vous demander poliment de ne pas vendre vos données ni de les partager davantage. Son prédécesseur plus ancien, DNT, est abandonné par les navigateurs parce que les sites Web le considéraient comme un souhait non contraignant et l'ignoraient pour la plupart. GPC va encore plus loin. Dans certains États américains, en Californie par exemple, cette loi a déjà une valeur juridique, de sorte que les entreprises ne peuvent pas simplement l'écarter. C'est pourquoi il est logique de l'activer dans votre navigateur.
Les sites Web stockent également des données vous concernant directement dans le navigateur, dans ce que l'on appelle le stockage persistant, ou localStorage. Contrairement à une visite ordinaire, ces données survivent après la fermeture de la fenêtre et peuvent rester là en attendant votre retour. C’est comme une poche qui se remplit progressivement des notes des autres. De temps en temps, il est judicieux de le vider, c'est-à-dire de supprimer les données stockées pour des sites Web individuels; dans les paramètres de votre navigateur, vous le trouverez généralement sous les données du site Web, sinon la trace que vous laissez ne cesse de croître. Il en va de même pour les cookies. Les cookies eux-mêmes ne sont pas mauvais; ils vous permettent de rester connecté. Le problème est le suivi des cookies qui vous suivent sur les sites Web. C’est pourquoi ces invites irritantes de consentement aux cookies existent. Le conseil est simple: rejetez tout ce qui n’est pas nécessaire. Et si votre navigateur offre une protection anti-empreintes digitales, activez-la. Cette fonction uniformise ou modifie légèrement les petites valeurs techniques que j’ai mentionnées plus haut, afin que vous vous distinguiez moins de la foule.
Une ancienne version est une porte déverrouillée, tout comme l'accès au matériel
Il y a deux choses que nous sous-estimons encore. La première est la mise à jour de votre navigateur et de votre système d'exploitation. Chaque mise à jour comble des trous par lesquels quelqu'un peut entrer. Un navigateur obsolète est comme une serrure pour laquelle une clé principale circule déjà. Dans notre métier, la règle est simple: ce qui n’est pas mis à jour est un point faible. Lorsque l'invite de mise à jour apparaît, ce n'est pas une nuisance, c'est un remplacement du verrou sans intervention supplémentaire. Et que vous soyez sous Windows, macOS, Android ou iPhone, le système lui-même révèle de quel type d'appareil vous venez, ce qui constitue une autre ligne de votre profil.
Le second est l’accès au matériel. Les navigateurs basés sur Chromium peuvent accéder via le Web au Bluetooth, à l'USB, aux appareils dits HID tels que les claviers ou les contrôleurs de jeu, et même au port série. Firefox et Safari ne l'autorisent pas intentionnellement pour des raisons de sécurité. Il existe des usages légitimes, comme par exemple connecter un terminal de paiement. Mais il s’agit d’une autorisation puissante, et tous les sites Web qui la demandent ne devraient pas la recevoir. Les meilleures portes sont les portes fermées. Je les traite comme des clés de voiture: je ne les donne pas simplement parce que quelqu'un me l'a gentiment demandé.
Cela conduit à une règle générale que je répète constamment aux clients. Distribuez les autorisations avec autant de prudence que si vous les payiez de votre propre poche. Lorsqu'un site Web ou une application vous demande votre position, votre microphone, votre caméra ou votre Bluetooth, demandez pourquoi. Dans la plupart des cas, il n’en a besoin pour rien et ajoute simplement une autre pièce à l’image qu’il se construit de vous.
Ce que vous pouvez faire aujourd’hui sans devenir paranoïaque
Je ne veux pas que vous jetiez votre téléphone après avoir lu ceci et que vous alliez dans les bois. Une trace numérique ne peut pas être complètement effacée, et ce n’est pas le but. Le but n’est pas d’être la personne la plus facile à lire dans la pièce. Le principe est le même en matière de protection physique: il ne s’agit pas de disparaître, mais de ne pas être inutilement visible et facile à cibler. Se fondre dans la foule est généralement la meilleure protection.
Il y a six étapes qui ont le plus de sens pour le moins d'effort, et vous pouvez les gérer en un seul après-midi. Tout d’abord, utilisez un navigateur qui prend au sérieux la confidentialité par défaut, comme Brave ou un correctement configuré Firefox. Deuxièmement, ajoutez uBlock Origin, qui coupe la plupart des trackers et des publicités. Dans Chrome, sa version complète ne fonctionne plus, ce qui est une autre raison pour laquelle je recommande Firefox ou Brave dans un premier temps. Troisièmement, procurez-vous un VPN digne de confiance ; je recommande personnellement Proton VPN ou Mullvad, et traitez-le comme une couche de protection, et non comme une panacée. Quatrièmement, mettez à jour votre navigateur et votre système dès que possible. Cinquièmement, rejetez les cookies non essentiels et activez la protection anti-empreintes digitales si votre navigateur la propose. Et sixièmement, soyez avare en autorisations.
Cela donne l’essentiel du résultat pour une fraction de l’effort. Le reste est habitude et prise de conscience, exactement comme dans la rue. Une fois que vous commencerez à remarquer tout ce que votre appareil dit sur vous, il cessera de vous surprendre.
Quand vous voulez savoir où vous en êtes
Notre test d'exposition numérique vous montrera la situation actuelle de votre appareil spécifique et vous donnera un score sur les vingt points que j'ai décrits ici. C'est un bon point de départ si vous voulez savoir où vous en êtes.
Et si vous prenez la protection plus au sérieux, qu'il s'agisse de la sécurité des personnes, du transport discret ou de la trace numérique que vous laissez derrière vous, contactez-nous pour une consultation sans engagement. En dix-sept ans, nous avons appris que protection physique et protection numérique vont désormais de pair. Je me ferai un plaisir de vous expliquer, calmement et sans pression, ce que votre situation exige réellement et ce qui n'est qu'un alarmisme inutile. Aucune pression, aucune obligation.
"Il y a longtemps que la protection ne se limite plus à la personne qui se tient à vos côtés. Elle concerne également ce que votre appareil dit silencieusement à toute personne sachant regarder."— Robert Václavík
