Qu'est-ce que l'empreinte des polices ? Comment les sites identifient votre navigateur via la liste des polices

Vous changez d'environnements, vous changez de proxys, et la mise en page garde ses écarts subtils : sur un même site, le texte d'un bouton est deux pixels plus large sur cette machine que sur celle d'à côté. Les polices font partie des sources de ces écarts : ce que chaque machine a installé, une page web peut le deviner dans les grandes lignes, et la liste des polices s'est imposée comme une famille de paramètres de l'empreinte du navigateur. Cet article couvre trois sujets : comment les sites testent les polices, jusqu'où le résultat mérite confiance et quand choisir chacun des trois modes de liste (réelle, aléatoire, personnalisée). MostMate classe les polices parmi les paramètres de base de ses réglages d'empreinte ; pour une vue d'ensemble du produit, voir Qu'est-ce que MostMate.

Qu'est-ce que l'empreinte des polices : le site devine quelles polices vous avez installées

L'empreinte des polices ne consiste pas à copier vos fichiers de polices vers le site, mais à lui faire déduire, à force de tests, si votre machine est capable d'afficher telle ou telle police. Le système d'exploitation arrive avec son lot de polices d'usine, et les utilisateurs comme les logiciels viennent compléter : l'installation d'Office en apporte tout un paquet, et une édition chinoise de Windows embarque en plus SimSun et Microsoft YaHei. Deux machines n'ont que rarement le même ensemble de polices, et cette différence est une information. Dès 2010, une étude de l'EFF sur le traçage classait les polices parmi les paramètres identifiables, et ce type de test n'a jamais quitté les grands sites depuis.

Ce qui distingue ce paramètre des autres, c'est son rythme de changement : Canvas et WebGL dépendent du matériel et du moteur de rendu et ne bougent en général qu'au bout de quelques mois ; la liste des polices, elle, suit les installations de logiciels. Un nouvel outil bureautique installé ou un fichier de police supprimé, et la liste change. Un paramètre qui bouge vite se trahit aussi vite : une seule installation suffit pour l'écarter de son état d'origine.

Comment les sites testent vos polices : trois méthodes qui ne cherchent que la présence ou l'absence

Un site ne peut pas lire directement l'inventaire des polices du système ; il n'a d'autre choix que de le déduire indirectement. Trois méthodes sont courantes :

1. La mesure différentielle de largeur. On place dans la page un texte fixe, on mesure sa largeur une première fois avec une police de substitution (monospace, par exemple), puis une seconde fois en imposant la police cible. Largeurs identiques : la police cible est absente ; largeurs différentes : elle est là. En balayant des centaines de noms de polices courantes, le script de détection reconstitue une liste de « présences » et d'« absences ».
2. La comparaison de rendu Canvas. On dessine le même texte avec différentes polices dans un Canvas et l'on compare les écarts de pixels, ce qui fait émerger au passage les différences entre moteurs de rendu.
3. Font Loading API. Les navigateurs modernes proposent une interface telle que document.fonts.check('12px "Segoe UI"'), qui indique directement si une police est disponible, bien plus commode que mesurer des largeurs.

Les trois méthodes répondent à la même question : « ce nom de police est-il utilisable sur cette machine ? » ; les fichiers eux-mêmes restent hors de portée. Dans la pratique, on les combine : la mesure de largeur en première ligne, Canvas en contre-vérification. Le détail de l'interface est documenté dans la page Document.fonts du MDN ; la liste complète des polices testées et la logique de décision figurent dans le code source de détection des polices de FingerprintJS.

Un résultat de détection incomplet par nature : vous ne recevez pas la liste complète

Mieux vaut corriger d'emblée une idée fausse. Un site ne teste jamais toutes les polices que vous avez installées, seulement celles qui figurent sur sa propre liste : le résultat réel est l'intersection entre « liste de polices courantes » et « votre machine ».

Cette limite a deux conséquences. La première : deux machines aux ensembles de polices différents peuvent obtenir le même résultat : la machine A dispose des polices X et Y, la machine B de X et Z ; si le site ne teste que X et W, les deux renvoient « X présente, W absente » et le hachage tombe identique. Des empreintes de polices identiques ne prouvent pas que les machines sont identiques : elles attestent seulement d'un comportement uniforme dans le périmètre testé.

La seconde : tout ce qui se trouve hors liste demeure invisible. Une station de travail de graphiste équipée de 300 polices et un système fraîchement installé renverront le même résultat si la liste de tests ne couvre que 150 polices courantes ; les 150 autres ne sont vues nulle part.

Pour la gestion de plusieurs comptes, ce caractère incomplet joue dans les deux sens : les polices seules ne suffisent pas à fixer une identité, mais les systèmes antifraude croisent cette liste avec d'autres signaux, et dès qu'elle ne colle plus au système d'exploitation ou à la langue déclarée, elle devient une anomalie très visible. Pour le nombre de polices et le hachage affichés par les outils de détection, appliquez la règle « stable au sein d'un même environnement, différent d'un environnement à l'autre » ; inutile de courir après un chiffre précis.

Les facteurs qui façonnent votre liste de polices

Quatre couches se superposent pour constituer l'ensemble de polices, et chacune peut suffire à révéler un écart entre deux machines « identiques » en apparence :

• Le système d'exploitation et sa version. Windows, macOS et Linux n'embarquent pas les mêmes polices en usine, et Windows 10 et Windows 11 divergent eux aussi. C'est la base qui permet à la liste des polices de corroborer la plateforme déclarée par l'User-Agent.
• La langue et la région du système. Une édition chinoise de Windows livre SimSun et Microsoft YaHei, absentes de la plupart des machines d'Europe et d'Amérique ; même logique pour les systèmes en japonais ou en coréen. La liste des polices révèle souvent avant tout autre signal la véritable provenance de l'environnement.
• Les logiciels qui s'accumulent. Office, Adobe et WPS glissent chacun leurs polices maison dans le système ; entre une machine de graphiste et une machine qui ne sert qu'à naviguer, l'écart est considérable.
• Les règles de substitution du moteur de navigateur. Face à un même nom de police, Chromium et Firefox ne choisissent pas les mêmes substituts et les largeurs mesurées s'en ressentent ; si la version du noyau de l'environnement change, ces détails peuvent bouger avec elle.

Cette superposition explique un phénomène bien connu : un environnement dont l'IP, le fuseau horaire et la langue sont réglés comme il faut garde des traces de son « pays d'origine » dans ses polices : un environnement qui se déclare anglophone américain traîne encore Microsoft YaHei dans sa liste. Lors de la vérification croisée, ce genre de décalage en dit bien plus qu'un paramètre isolé qui cloche.

Comment juger la cohérence : trois critères et un test en trois étapes

Une fois replacées dans la gestion d'environnements, les polices doivent passer trois critères :

1. Stabilité au sein d'un même environnement. Testé plusieurs fois de suite, le même environnement renvoie le même nombre de polices et le même hachage ; pendant la vie de l'environnement, ne vous lancez pas dans des installations de logiciels ou des suppressions de polices au fil de l'eau.
2. Des différences nettes d'un environnement à l'autre. Des environnements censés venir de régions différentes devraient afficher des listes visiblement distinctes ; si l'environnement « Américain » et l'environnement « Allemand » renvoient exactement le même hachage de polices, le signal est suspect.
3. La cohérence avec les informations déclarées. Une police propre à macOS sur un environnement Windows ou toute une rangée de polices chinoises dans un environnement anglophone : voilà des décalages qui sautent aux yeux. Les risques de la randomisation des paramètres sont détaillés dans Pourquoi la randomisation de l'empreinte est dangereuse ; les polices en sont le cas le plus typique, car une combinaison assemblée au hasard n'existe pour ainsi dire pas dans le monde réel.

Le test en trois étapes : ouvrez la page de résultats de BrowserScan ou d'Iphey, repérez la ligne consacrée aux polices (Fonts) et notez la valeur ; rechargez deux ou trois fois dans le même environnement pour confirmer la stabilité ; lancez le même test dans un second environnement et comparez les écarts avec l'identité affichée par chacun.

Comment choisir entre les trois modes de liste de polices de MostMate

Dans les réglages d'empreinte de MostMate, la liste des polices propose trois modes (réelle, aléatoire, personnalisée) qui correspondent à trois situations :

• Réelle : l'environnement utilise telle quelle la liste de polices actuelle de la machine hôte, et le résultat de détection est identique à celui d'un navigateur ouvert à la main. Convient quand l'hôte est propre et que la région de l'identité correspond à celle du système hôte, par exemple un Windows en anglais qui sert à créer des environnements américains.
• Aléatoire : l'environnement génère lui-même une combinaison de polices, à condition que l'algorithme la compose dans les limites définies par le système d'exploitation et la langue, pour que l'ensemble reste plausible au regard de l'identité choisie. Convient à la création d'environnements en série, quand il n'y a pas lieu de vérifier chaque détail de police.
• Personnalisée : vous cochez vous-même les polices dans la liste ; c'est le mode à retenir quand la plateforme cible contrôle de près ou que l'identité s'écarte nettement de la machine hôte. Complétez l'ensemble de polices du système correspondant à votre identité et passez chaque point en revue avec les trois critères de la section précédente.

Les trois modes se règlent dans la section d'empreinte du formulaire de création d'environnement ; une fois configurés, contrôlez la valeur en cours dans le champ « Liste des polices » du panneau d'aperçu de l'empreinte, puis repassez une mesure sur un site de détection. Le parcours complet de configuration figure dans Bien démarrer avec MostMate.

Conclusion

Au fond, l'empreinte des polices, c'est un site qui déduit l'ensemble de polices de votre machine à partir d'une liste de tests limitée : la liste complète échappe au test, mais il en suffit pour faire ressortir les décalages lors d'une vérification croisée. Côté gestion, trois priorités : la stabilité au sein d'un même environnement, des écarts nets entre environnements et une liste conforme au système et à la région déclarés. Pour lancer votre premier environnement, commencez par télécharger MostMate ; la logique de cohérence de chaque paramètre d'empreinte est développée dans Les quatre grands principes de conception de MostMate.

FAQ

L'empreinte des polices suffit-elle à identifier un appareil ?

Non. Le résultat est borné par la liste de tests, et deux machines aux polices différentes peuvent afficher le même. Les systèmes antifraude croisent en règle générale les polices avec l'User-Agent, Canvas, la langue et d'autres paramètres ; les polices seules ne suffisent pas à établir une identité.

L'empreinte des polices est-elle la même selon les navigateurs ?

À ensemble de polices égal, la tendance générale est la même, mais les règles de substitution et les détails de rendu changent d'un moteur à l'autre, et les largeurs mesurées varient. Sur une même machine, Chrome et Firefox donnent souvent des résultats qui diffèrent sur des détails : c'est la marque du moteur.

Plus vous installez de polices, plus vous êtes identifiable ?

Une police supplémentaire n'est vue que si elle tombe dans la liste de tests. Le nombre pèse peu en soi, sauf exception : les polices rares. Dès qu'une police de design peu répandue se fait repérer, la liste entière paraît statistiquement inhabituelle.

Effacer les cookies efface-t-il l'empreinte des polices ?

Non. La liste des polices reflète ce qui est installé sur la machine et ne relève pas du stockage du site : ni les cookies ni le cache n'ont d'effet dessus. Pour la faire changer, il faut modifier la configuration des polices au niveau de l'environnement.