L’article d’ouverture présentait l’empreinte du navigateur : une technique que ni la suppression des cookies ni un VPN ne font disparaître. Examinons maintenant qui collecte cette empreinte, ce qui rend un appareil reconnaissable et quelles mesures réduisent réellement le suivi.
Qui collecte l’empreinte et pourquoi
Les empreintes digitales ont deux visages totalement différents, et il est juste de mentionner les deux. Le premier est le secteur de la publicité et de l’analyse: les entreprises qui veulent savoir que vous êtes le même visiteur qu’hier, même sans cookies, afin de pouvoir créer un profil et cibler la publicité sur vous. Le deuxième visage est celui de la sécurité bancaire et des paiements. Lorsque vous vous connectez à la banque en ligne ou payez par carte en ligne, la banque compare discrètement l'empreinte digitale de votre appareil avec celle qu'elle connaît auparavant, et si un paiement apparaît soudainement depuis un appareil complètement différent à l'autre bout du monde, le système y prête attention. Dans ce contexte, la prise d’empreintes digitales est un outil contre la fraude, et non contre vous. Même technique, but opposé. C’est exactement la raison pour laquelle la prise d’empreintes digitales ne peut pas être simplement interdite à tous les niveaux. Vous ne pouvez vous protéger que du premier visage, pas du second.
À quel point vous êtes vraiment inhabituel
Le principe est simple: chaque caractéristique individuelle de votre appareil, le type de carte graphique, les polices installées, la résolution de l'écran, la version du système, a en soi une valeur limitée car vous la partagez avec des milliers d'autres personnes. Mais combinez-en vingt à la fois, et la combinaison de « cette configuration graphique exacte, cette puce audio, ce jeu de polices, cette résolution » est souvent étonnamment rare, parfois unique parmi des centaines de milliers d’autres appareils. Cela fonctionne sur le même principe qu'une empreinte digitale: une crête ne dit rien, le motif complet identifie la personne.
Si vous souhaitez voir votre propre empreinte digitale de vos propres yeux, il existe deux outils utiles qui méritent d’être essayés : coveryourtracks.eff.org et amiunique.org. Les deux vous montreront en quelques secondes à quel point votre appareil est unique par rapport aux appareils d’autres personnes ayant passé le même test. Je recommande de le mesurer de temps en temps après avoir essayé certaines des recommandations ci-dessous et comparé ce qui a changé.
Navigateurs par niveau de protection
Tous les navigateurs ne gèrent pas aussi bien les empreintes digitales, et il est utile de savoir où se termine la protection ordinaire et où commence une protection plus renforcée.
L'approche la plus forte vient de Navigateur Tor et, suivant le même chemin, Navigateur Mullvad. Les deux s’appuient sur une idée simple mais intelligente: au lieu d’essayer de rendre l’empreinte digitale de chaque utilisateur légèrement différente, ils essaient de la rendre exactement la même pour tous les utilisateurs à la fois. Si vous ressemblez exactement à des millions d’autres personnes utilisant le même navigateur, l’efficacité des empreintes digitales est considérablement affaiblie. Il s'agit d'un outil destiné aux moments où vous avez besoin de la plus grande discrétion possible, et non à la navigation quotidienne ordinaire.
Brave, que je recommande comme norme raisonnable au quotidien, emprunte un chemin différent: il modifie subtilement et aléatoirement les valeurs lues par un site Web, légèrement différemment à chaque fois. Cela fonctionne bien contre le pistage ordinaire, même s'il est juste de dire qu'avec suffisamment de tentatives répétées, cette défense aléatoire peut être en partie analysée. Par contre, contre un tracker publicitaire standard, il s'agit d'une protection suffisante sans configuration supplémentaire.
Firefox inclut un paramètre avancé caché, resistFingerprinting, qui fait quelque chose de similaire au navigateur Tor, mais il est davantage destiné aux utilisateurs avancés car il peut perturber le comportement normal de certains sites Web, par exemple en affichant le mauvais fuseau horaire. Firefox ajoute également progressivement une protection par défaut plus douce, qui ne nécessite aucune activation manuelle et ne brise pas le Web dans le processus. Safari longtemps reposé principalement sur le blocage des éléments de suivi tiers, mais aujourd'hui, il inclut également une protection directe contre les empreintes digitales: il injecte une petite quantité de bruit dans les valeurs lues par les scripts d'empreintes digitales, de sorte que l'empreinte digitale ressort légèrement différemment à chaque fois. Dans les dernières versions, il est activé par défaut pour toute navigation ; dans le passé, cela ne fonctionnait que dans une fenêtre privée.
Pourquoi Incognito et VPN ne suffisent pas
C’est le malentendu le plus courant que je rencontre. Le mode incognito ou fenêtre privée ne limite que la trace locale: une fois fermé, il supprime l'historique, les cookies et les données de session, mais l'empreinte digitale est lue en direct au moment même où vous ouvrez la page, et c'est exactement la même chose que vous naviguiez dans une fenêtre normale ou privée. La même chose s’applique au VPN, dont j’ai parlé précédemment: il change uniquement d’où vous semblez venir et n’affecte en rien l’empreinte digitale de l’appareil lui-même. Les deux protections fonctionnent sur une couche différente, les deux sont utiles, mais aucune ne résout les empreintes digitales.
Il y a quelques années, une affaire qui a abouti devant les tribunaux aux États-Unis a montré qu'il ne s'agit pas là d'un risque purement théorique. L’une des plus grandes entreprises technologiques au monde a fait l’objet d’un procès précisément parce que les utilisateurs de son navigateur dans une fenêtre privée pensaient qu’ils n’étaient pas suivis, alors que, selon l’affirmation, l’entreprise a continué à collecter des signaux, y compris l’empreinte digitale de l’appareil. Le conflit a duré des années et s'est soldé par un règlement: l'entreprise a dû supprimer une énorme quantité de données collectées sur les fenêtres privées et a promis de modifier son comportement pendant encore plusieurs années. Et quelle que soit l’issue de conflits similaires à l’avenir, une chose est déjà claire: « fenêtre privée » et « invisible » ne sont pas synonymes, même dans les entreprises qui devraient en savoir plus.
Que faire aujourd'hui
Pour les jours ordinaires, un bon navigateur avec protection intégrée suffit. Brave ou un Firefox correctement configuré est un choix solide, exactement comme je l'ai écrit dans l'article d'ouverture. Pour les moments où vous avez besoin de la plus grande discrétion possible, des réunions sensibles, des recherches, tout ce pour quoi vous ne souhaitez pas être lié à une visite précédente, utilisez le navigateur Tor ou le navigateur Mullvad. Essayez de mesurer votre propre empreinte digitale sur coveryourtracks.eff.org ou amiunique.org afin de connaître votre point de départ. Et rappelez-vous le principe que j’ai évoqué dans la première partie, qui s’applique aussi bien au monde numérique qu’au monde physique: se fondre dans la foule est généralement la meilleure protection. La prise d’empreintes digitales ne fonctionne que là où vous vous démarquez sensiblement de tout le monde autour de vous.
« Supprimer les cookies n’efface pas l’empreinte du navigateur : il faut surtout éviter de se distinguer de tous les autres. »— Robert Václavík
