Fingerprinting du navigateur : comment les sites web vous suivent au-delà des cookies

Les cookies tiers s'effritent sous l'effet des politiques des navigateurs et des réglementations. Les acteurs de la publicité en ligne et de la détection des fraudes s'appuient donc davantage sur des signaux sans état : des combinaisons de caractéristiques matérielles et logicielles observables depuis JavaScript et CSS. Ensemble, ils forment une empreinte numérique (fingerprint) — rarement parfaite, mais souvent suffisante pour corréler des sessions.

Catégories clés de signaux

1. Couche HTTP — User-Agent (en réduction), Accept-Language, Client Hints.
2. Écran & rendu — résolution, devicePixelRatio, colorGamut, polices disponibles.
3. Graphiques — les sorties des shaders Canvas et WebGL varient selon le GPU et le pilote.
4. Audio — les circuits oscillateur + compresseur produisent de minuscules différences numériques.
5. Comportemental — rythme de frappe, dynamique du pointeur (collecte à plus haute latence).

Aucun champ individuel ne constitue à lui seul une preuve irréfutable ; ce sont les distributions conjointes qui comptent.

Pourquoi c'est différent des cookies

Les cookies sont un stockage explicite que vous pouvez supprimer. Les empreintes numériques sont déduites des sorties ordinaires des API. Effacer les cookies ne réinitialise pas les particularités de compilation des shaders de votre GPU. Cette asymétrie alimente le débat réglementaire : la lecture des pixels canvas est-elle « strictement nécessaire » ?

Défenses des navigateurs

• Safari — Intelligent Tracking Prevention limite le stockage et isole les tiers.
• Firefox — Options pour résister au fingerprinting (Resist Fingerprinting) et listes ETP (Enhanced Tracking Protection).
• Chrome — Privacy Sandbox déplace les cas d'usage publicitaire vers des centres d'intérêt (topics) et des API protégées ; toujours en évolution.
• Tor Browser — Standardise le viewport et atténue les API à haute entropie ; privilégie l'utilisabilité à l'unicité.

Ce que les propriétaires de sites devraient faire

Si vous ne construisez pas de technologies publicitaires, évitez de faire appel à des API à haute entropie « juste pour voir ». Utilisez Permissions-Policy pour désactiver les fonctionnalités inutilisées (camera, geolocation, payment). Privilégiez les analyses côté serveur avec des métriques agrégées. Documentez les flux de données dans votre politique de confidentialité — les examinateurs (humains et automatisés) apprécient l'honnêteté.

Développeurs : n'aidez pas les traceurs par accident

Les détections de fonctionnalités qui écrivent dans le canvas ou énumèrent les polices dans les pages de destination peuvent involontairement aider des scripts tiers chargés ultérieurement. Auditez les gestionnaires de balises trimestriellement ; un seul fragment de code A/B peut annuler un travail d'ingénierie minutieux.

Associez cette lecture à notre outil de détection de navigateur pour voir ce que votre UA communique — puis rappelez-vous : l'UA n'est que le premier chapitre du livre du fingerprinting.