Une page qui ne vous a jamais rien demandé peut quand même vous décrire avant que vous cliquiez.
Kuber Mehta a construit exactement cette page.1 Elle s’intitule « I didn’t set a cookie. » Ouvrez-la : le navigateur est invité à dessiner des images qu’on ne lui montre jamais, à produire un son qu’on ne lui fait jamais écouter, à déclarer les polices installées, l’écran sur lequel il repose, la langue qu’il préfère, le fuseau horaire où il pense vivre. La page vous dit ensuite ce qu’elle vient d’apprendre sur vous. Pas de cookies, pas de permissions, pas de bandeau de consentement. Rien n’est stocké.1
Le mécanisme a un nom : l’empreinte de navigateur, ou fingerprinting. C’est la machinerie silencieuse sous une grande partie de la manière dont le web identifie les gens, et elle mérite plus d’attention que le bandeau de cookies qui a récolté toute la réglementation.
L’identification sans état
Un cookie est un petit fichier qu’un site dépose sur votre machine pour vous reconnaître plus tard. C’est un objet avec état, visible et supprimable. L’empreinte fonctionne à l’inverse : elle demande au navigateur de se décrire, puis elle vous reconnaît à partir de cette description seule.
La différence est importante. Un cookie est quelque chose qu’un site vous fait et que vous pouvez trouver puis effacer. Une empreinte est quelque chose que votre navigateur est, et que vous ne pouvez pas effacer.
Pensez à la différence entre une étiquette qu’on épingle sur votre veste et une description de votre visage. L’une s’arrache. L’autre vous suit partout.
Mehta, un développeur de 19 ans, résumait sur LinkedIn ce qu’une page peut assembler sans aucun des mécanismes de consentement habituels : localisation, heure, fournisseur d’accès, adresses IP, et des signaux que les systèmes publicitaires affectionnent.1 Il parle d’« une quantité effrayante de fingerprinting ».
La démonstration ne stocke rien, et c’est un point à prendre au sérieux. C’est une preuve de concept, pas un traqueur. Mais les techniques qu’elle utilise sont celles des sociétés de pistage, et la seule différence entre la démo et un vrai traqueur, c’est ce qu’on fait du résultat.
Les sources d’entropie
Chaque navigateur est un peu différent, et ces différences sont la matière de l’empreinte. Un traqueur collecte une longue liste de signaux et les combine en quelque chose de presque unique.
Le canvas est la source classique. Un script dessine une scène complexe — texte, formes, dégradés, ombres — sur un canvas hors écran, puis relit les pixels. Le résultat dépend du GPU, du pilote, du rendu des polices, de l’anticrénelage du système. Deux machines identiques sur le papier produisent des pixels mesurablement différents. Hachez ces pixels, et vous obtenez un identifiant stable et difficile à falsifier.7
WebGL prolonge l’idée en trois dimensions. Le contexte de rendu expose le fabricant du GPU, la chaîne du renderer et le résultat précis des opérations de dessin, qui varient selon le matériel et les pilotes.
L’audio fonctionne de la même façon. On peut demander à la Web Audio API de traiter un court signal, et la sortie en virgule flottante diffère subtilement d’une pile audio à l’autre. Hachez-la, et elle rejoint l’empreinte.
Viennent ensuite les signaux plus doux. Les polices installées sont détectables sans aucune permission : un script rend une chaîne de texte dans une mesure à largeur fixe et compare l’espace qu’occupe chaque police candidate pour deviner lesquelles sont présentes. La taille d’écran, la profondeur de couleur et le ratio de pixels décrivent l’affichage. Le fuseau horaire et la langue décrivent la personne plus que la machine. Le nombre de cœurs et la mémoire révèlent la classe de processeur. La chaîne de plateforme nomme le système d’exploitation.
Chacun de ces signaux est faible isolément. Un fuseau horaire partagé par des millions de personnes, une taille d’écran partagée par tout un modèle d’ordinateur portable, une liste de polices partagée par tous ceux qui ont installé le même logiciel. Mais combinés, les signaux faibles cessent de l’être. L’entropie s’additionne, et c’est cette somme qui rend un navigateur identifiable.
Il y a une subtilité qui rend l’ensemble encore plus difficile à combattre. Si votre navigateur rend quelque chose mal de la même manière à chaque fois — un glyphe précis, un dégradé particulier — l’erreur elle-même devient une partie de votre empreinte. C’est une observation récurrente dans la littérature sur le fingerprinting : le bug identifie autant que la fonctionnalité. Vous ne pouvez pas vous en sortir en le corrigeant, parce que la correction vous rendrait semblable à tout le monde, et c’est précisément ce que le traqueur ne veut pas.
Une brève histoire d’être unique
L’histoire moderne commence en 2010, quand Peter Eckersley, de l’EFF, lance Panopticlick, un projet de recherche qui teste l’unicité des navigateurs. La première collecte réunit environ 470 000 empreintes. Le résultat principal, raconté dans How Unique Is Your Web Browser?, est que la plupart des navigateurs sont effectivement uniques : 83,6 % des empreintes observées pouvaient être isolées, un chiffre qui montait à 94,2 % lorsque Flash ou Java étaient activés.3
Ce chiffre mérite qu’on s’y attarde. Seize ans de bandeaux de cookies plus tard, l’arithmétique sous-jacente ne s’est pas arrangée. Le web est plein de gens qui se croient anonymes parce qu’ils effacent leurs cookies, pendant que la machine qu’ils utilisent continue de les décrire.
En 2012, Keaton Mowery et Hovav Shacham publient Pixel Perfect: Fingerprinting Canvas in HTML5, le papier qui fait du canvas la technique d’empreinte la plus connue. Ils montrent que les pixels qu’un navigateur produit quand on lui demande de rendre du texte et des formes varient assez entre les machines pour les identifier de manière fiable.4 Le canvas s’est révélé une source d’entropie particulièrement bonne parce qu’il mélange le GPU, le pilote et la pile de polices dans une seule image, et que les différences sont difficiles à contrefaire sans réécrire le moteur de rendu.
Depuis, le domaine s’est industrialisé. Des bibliothèques open source comme FingerprintJS collectent des dizaines d’attributs côté client et calculent un identifiant de visiteur haché.5 La version open source atteindrait environ 90 % d’unicité dans des comparaisons indépendantes ; un palier commercial vend plus de précision et de stabilité.7 Des sites de recherche comme AmIUnique n’ont cessé de mesurer la quantité d’entropie que fuit un navigateur, et la réponse reste élevée.8
Le déplacement intéressant n’est pas la précision. C’est que le fingerprinting est passé de curiosité académique à catégorie de produit, vendue aux équipes anti-fraude, aux services de streaming et aux systèmes publicitaires, tout en restant invisible pour la personne identifiée.
Le remplaçant du cookie attendait déjà
Il y a une seconde histoire, moins racontée, qui court parallèlement à celle de la réglementation : les navigateurs eux-mêmes ont tué le cookie, et l’industrie du pistage a réagi en s’appuyant davantage sur l’empreinte.
Safari, d’Apple, a commencé à bloquer les cookies tiers par défaut en 2017, sous le nom d’Intelligent Tracking Prevention. Firefox a suivi en 2019 avec sa protection renforcée contre le pistage. À eux deux, ces navigateurs couvraient une large part du marché, et l’industrie publicitaire — qui avait bâti le suivi intersites sur le cookie tiers — avait besoin d’un remplaçant.
Chrome, de Google, fut le dernier à tenir, et son histoire est la plus étrange. Pendant des années, l’entreprise a promis de supprimer les cookies tiers, construisant un remplaçant appelé Privacy Sandbox. Puis, en 2024, elle a annoncé qu’elle ne les supprimerait finalement pas, tout en poussant des mesures anti-empreinte et en limitant ce qu’elle appelait le suivi intersite non sécurisé.11
Le résultat, comme le répètent les équipes vie privée, est un web où l’ancien objet de pistage est retiré mais où les contournements se multiplient. Les guides professionnels listent désormais le fingerprinting et d’autres « contournements » comme les alternatives pratiques au cookie.11 Le cookie, la technologie de pistage la plus visible et la plus régulée, est remplacé par la moins visible.
C’est la version profonde du paradoxe. Ce ne sont pas seulement les lois qui ont poussé le pistage dans l’ombre. Ce sont les navigateurs, répondant aux utilisateurs, qui ont retiré l’objet que tout le monde pouvait voir et effacer. L’industrie n’a pas arrêté de pister parce que l’objet avait disparu. Elle a simplement cessé de l’utiliser.
À quoi sert réellement l’empreinte
Il est facile de parler du fingerprinting comme s’il n’était qu’un outil de surveillance. C’est aussi une technologie qui fonctionne, et faire comme si ce n’était pas le cas rendrait le débat malhonnête.
La prévention de la fraude est le plus gros usage légitime. Banques, processeurs de paiement et sites de commerce utilisent l’identification d’appareil pour repérer les fraudeurs et les empêcher de revenir sous un nouveau compte.10 Si une carte volée commence à être utilisée depuis un appareil jamais vu, une empreinte peut signaler la transaction avant qu’elle se termine.
Les services de streaming utilisent la même idée pour appliquer les limites d’appareils — une empreinte peut dire à un service que c’est bien le quatrième écran du même foyer, même après effacement des cookies. Les équipes de sécurité de compte s’en servent pour détecter des connexions anormales. Certains sites l’utilisent pour la tâche beaucoup plus banale de se souvenir de vos préférences quand vous avez vidé vos cookies, sans vous forcer à vous reconnecter.10
Rien de tout cela ne rend l’empreinte bonne ou mauvaise. Cela la rend utilisée, partout, par des gens aux motivations très différentes. Le même mécanisme qui empêche un attaquant d’entrer dans votre compte bancaire est celui qui laisse un réseau publicitaire vous suivre à travers des sites que vous n’avez jamais visités deux fois. La technologie ne sait pas quel travail elle fait ; c’est la personne qui la déploie qui décide.
C’est la partie inconfortable. Vous ne pouvez pas simplement interdire le fingerprinting sans casser aussi la protection anti-fraude que vous voulez probablement conserver. Vous pouvez réguler la manière dont il est utilisé — et c’est là que le droit a traîné.
Le paradoxe du bandeau de cookies
C’est ici que l’histoire de la réglementation devient étrange.
Le droit européen a rendu les cookies visibles. La directive ePrivacy et le RGPD ont obligé les sites à demander un consentement avant de poser des cookies non essentiels, ce qui explique pourquoi vous cliquez sur un bandeau sur presque chaque site visité. Le bandeau est l’accomplissement le plus visible de la loi : un petit rituel de consentement répété des milliers de fois par an.
L’empreinte est sans état et invisible par conception. Elle ne stocke pas de fichier, donc elle ne déclenche pas le même flux de consentement. Une page peut vous prendre une empreinte dans le même souffle qu’elle demande la permission de poser un cookie, et les deux choses relèvent de règles très différentes.6
La position juridique est en réalité plus intéressante que ne le suggère le rituel du bandeau. Lorsque l’empreinte sert à pister les gens, elle constitue un traitement de données personnelles couvert par le RGPD.9 Les régulateurs ont dit que le consentement était la base appropriée pour un fingerprinting non essentiel, et qu’il tombait sous la même exigence de consentement ePrivacy que les cookies. En principe, le bandeau devrait couvrir aussi l’empreinte.
Le problème, c’est l’écart entre le principe et la pratique. Une empreinte est collectée avant l’affichage de tout bandeau, dans les millisecondes qu’il faut à une page pour se charger. Elle est invisible pour l’utilisateur et difficile à détecter de l’extérieur. Les boîtes de consentement parlent de cookies ; l’empreinte passe à travers parce que personne ne peut la voir se faire prendre. Les régulateurs ont mis du temps à courir après une technique qui ne laisse aucun fichier derrière elle.
Rien de tout cela n’est un complot. C’est ce qui arrive quand une loi est écrite autour d’un objet technique précis et que l’écosystème se déplace tranquillement vers un autre. Le bandeau n’est pas inutile — il a rendu le consentement réel pour les technologies qu’il couvre. Mais il couvre une part décroissante de l’identification qui se produit sur le web.
La course aux armements
Le fingerprinting n’est pas une rue à sens unique. Les navigateurs passent des années à rendre leurs utilisateurs plus difficiles à identifier, et le résultat est une course aux armements à la forme étrange.
Tor Browser est le plus agressif : il essaie de faire ressembler tous les utilisateurs de Tor les uns aux autres, pour qu’aucun individu ne se détache de la foule. Brave embarque une protection contre l’empreinte par défaut, en randomisant ou en maquillant certains signaux. Firefox a un mode « resist fingerprinting » qui généralise de nombreux attributs. Le site Cover Your Tracks de l’EFF permet de tester la tenue de votre navigateur.2
Le coût de ces protections est réel. Faire ressembler tous les utilisateurs de Tor à des clones signifie casser des parties du web — les sites qui dépendent d’un rendu canvas précis, de polices ou de géométrie d’écran se comportent bizarrement. Randomiser les signaux peut casser les connexions, les paiements et les systèmes anti-fraude, ce qui est précisément la raison pour laquelle certains de ces systèmes utilisent l’empreinte. Vous choisissez entre être identifiable et être légèrement cassé.
Vous pouvez voir votre propre place dans cette course en une minute environ. Cover Your Tracks vous dira à quel point votre navigateur paraît unique à un traqueur, et AmIUnique vous montrera les signaux bruts qu’il vient de collecter sur vous.8 L’expérience est étrangement personnelle : une page que vous n’avez jamais visitée connaît votre écran, vos polices, votre GPU, votre fuseau horaire, et elle vous dira à quel point cette combinaison est proche de l’unicité. La plupart des gens sont surpris par la réponse.
Et la course n’est pas symétrique. Un traqueur doit avoir raison la plupart du temps ; une protection doit avoir raison à chaque fois. Le traqueur peut mettre à jour ses méthodes en continu ; l’utilisateur dépend des mises à jour du navigateur. Quand un navigateur ajoute une protection, les traqueurs s’adaptent ; quand un traqueur s’adapte, le navigateur publie un autre correctif. L’utilisateur n’est rarement celui qui donne le rythme.
Il y a une asymétrie plus profonde à nommer. Une protection qui randomise vos signaux vous rend moins stable, ce qui casse précisément la détection de fraude et les connexions. Une protection qui rend tout le monde identique — l’approche Tor — est la seule qui fonctionne vraiment, et c’est celle qui coûte le plus en utilisabilité. Le terrain du milieu, où vit la plupart des gens, est un navigateur qui fuit juste assez pour être identifié.
Ce que cela change pour ceux qui construisent
Pour quiconque construit un site, l’empreinte n’est pas une menace abstraite. C’est une décision que vous prenez, souvent sans décider.
La pile par défaut du web moderne — analytics, publicité, anti-fraude, personnalisation — repose sur l’identification. Une partie de cette identification est du fingerprinting. Choisir une pile plus légère, ou un outil d’analyse respectueux de la vie privée, est un vrai choix éditorial sur ce que votre site sait de ses visiteurs. Le bandeau de cookies a rendu le consentement visible dans la construction d’un site ; l’empreinte est la partie qui reste silencieuse.
Il y a aussi un compromis réel à nommer, le même que plus haut mais vu du côté du constructeur. L’empreinte sert à la prévention de la fraude et à la sécurité des comptes, pas seulement à la publicité. Certaines des mêmes techniques qui vous pistent sont celles qui empêchent un attaquant de prendre le contrôle de votre compte. Un monde sans fingerprinting n’est pas automatiquement un monde meilleur ; c’est un monde avec un autre équilibre des risques. La position honnête consiste à dire ce qui est échangé, et à rendre le choix visible au lieu de laisser la pile par défaut le faire en silence.
Pour la plupart des sites, la décision est déjà prise par le modèle qu’ils ont installé. Déposez le snippet d’analytics standard, l’outil de consentement standard, le script publicitaire standard, et l’identification se produit que le constructeur du site y ait pensé ou non. Il vaut la peine de le dire clairement : une grande partie du fingerprinting du web n’est pas une stratégie délibérée. C’est le comportement par défaut des briques les plus communes. Choisir autrement — un outil d’analytics sans cookies, un flux de consentement qui couvre vraiment l’empreinte, ou simplement moins de scripts tiers — est un acte éditorial réel, et il est invisible à mesurer de l’extérieur.
Ce qui changerait réellement la donne
La réponse honnête à « comment réparer le fingerprinting » a deux volets, l’un technique, l’autre juridique, et aucun n’est proche.
Le correctif technique consiste à empêcher les navigateurs d’exposer l’entropie. Les navigateurs ont déjà bougé dans cette direction en durcissant certains signaux — le mode resist fingerprinting de Firefox, les protections par défaut de Brave, les mesures anti-empreinte de Chrome — mais ils ne peuvent pas aller jusqu’au bout sans casser le web. Un navigateur qui refuserait de révéler ses polices, son rendu canvas ou son GPU ferait mal s’afficher une énorme partie du web, et aucun éditeur ne peut livrer cela par défaut.2 Le correctif technique est donc toujours partiel, et toujours en tension avec la compatibilité.
Le correctif juridique consiste à traiter l’identification par n’importe quel moyen comme également digne de consentement. Les régulateurs ont déjà dit que l’empreinte à des fins de pistage est un traitement de données personnelles au sens du RGPD, et qu’un fingerprinting non essentiel a besoin d’un consentement comme un cookie.9 Ce qui manque, c’est l’application : une technique qui ne laisse aucun fichier est difficile à détecter, difficile à attribuer et difficile à prouver dans une plainte. La loi a les bons mots ; il lui manque l’outil d’inspection.
Il y a une troisième possibilité, moins discutée : que l’industrie trouve une méthode de pistage à la fois moins invasive et plus durable, et cesse d’avoir besoin de l’empreinte. Le Privacy Sandbox et des propositions similaires sont des tentatives en ce sens : une publicité qui fonctionne sans suivre un individu de site en site. Qu’elles soient une vraie amélioration ou une forme différente de pistage reste débattu. Ce qui compte pour cette histoire, c’est qu’elles existent parce que l’empreinte n’est une bonne réponse à long terme pour personne — c’est juste celle qui fonctionne aujourd’hui.
La page qui s’explique elle-même
La chose la plus utile de la démo de Mehta, c’est qu’elle est honnête sur ce qu’elle fait. Elle vous dit qu’elle a appris des choses sur vous, et elle vous dit qu’elle n’a rien stocké. C’est plus de transparence que n’en offre le traqueur moyen, et c’est pour cela que la page fonctionne comme explication.
La prochaine fois que vous refusez un bandeau de cookies et que vous vous sentez brièvement libre, souvenez-vous que la machine que vous utilisez s’est déjà décrite à la page — avant que vous cliquiez sur quoi que ce soit. Le bandeau n’a jamais été toute la conversation. C’était seulement la partie qui avait obtenu une place à la table.
L’empreinte, c’est le reste de la conversation, qui se poursuit dans une langue que le droit n’a pas encore apprise à parler.