Qu'est-ce qu'une empreinte de navigateur ? Des signaux banals qui vous identifient

Les sites vous reconnaissent souvent sans que vous vous connectiez et sans rien déposer sur votre machine. Chaque fois qu'un navigateur ouvre une page, il livre de lui-même une série d'informations.

Prises ensemble, ces informations sont assez stables pour survivre à l'effacement de votre historique. Un site inconnu reconnaît quand même qu'il s'agit du même appareil. C'est cela, une empreinte de navigateur.

MostMate est un navigateur fingerprint conçu pour la gestion de comptes multiples. Il traite l'autre face du même problème : sur un seul ordinateur, donner à chaque compte une identité de navigateur distincte et cohérente avec elle-même.

La suite suit quatre questions. De quoi une empreinte est composée, par quels points d'entrée les sites la récupèrent, si désactiver les scripts permet d'y échapper, et comment la tester vous-même.

Pris isolément, rien de rare. Assemblés, ils vous identifient

Chaque élément pris seul est bien trop ordinaire pour identifier qui que ce soit. Un écran 1366×768, on en croise partout ; les chaînes user-agent de Chrome, il y en a des masses ; et des centaines de millions de personnes vivent dans le même fuseau horaire.

Ce qui compte vraiment, c'est l'intersection. La taille d'écran est un filtre, le système d'exploitation un deuxième, le modèle de carte graphique un troisième, et la liste de polices, le fuseau horaire et les préférences de langue comptent chacun pour un filtre de plus. Chaque couche ajoutée élimine du monde. Après sept ou huit couches, il ne reste souvent plus qu'une personne.

En 2010, l'EFF a mené une expérience publique et collecté environ 470 000 profils de navigateurs. Dans 83,6 % des cas, l'empreinte était déjà unique avec cet ensemble de filtres.

Les chercheurs ont converti le résultat en quantité d'information : en moyenne, chaque navigateur portait au moins 18,1 bits de pouvoir identifiant. Si l'on en tire un au hasard, environ un sur 280 000 entrera en collision avec lui. Les conclusions complètes figurent dans le rapport public de l'EFF. Ces chiffres sont cités depuis lors de façon répétée, et tout aussi souvent mal lus.

On lit facilement ce chiffre comme si tout le monde se promenait à nu. Il vaut mieux le prendre comme un rappel : la force d'une empreinte ne vient pas de la rareté d'un élément isolé, mais du nombre d'éléments qui concordent en même temps. Une valeur particulièrement rare fait au contraire ressortir un appareil statistiquement.

Un point compte encore plus que le nombre d'éléments : la stabilité. Une empreinte est utile parce qu'elle est encore au même endroit demain et le mois prochain. Un navigateur qui envoie un jeu de paramètres différent à chaque démarrage livre chaque jour, de son plein gré, de nouveaux indices distinctifs.

Trois études, trois chiffres, et la différence est dans l'échantillonnage

Retenir un seul chiffre conduit à une conclusion erronée. Des études comparables ont été menées plusieurs fois, et selon les conditions les résultats divergent fortement.

Les deux premières lignes viennent de sites dédiés au test. Les personnes qui viennent volontairement tester sont déjà plus sensibles à la vie privée, et leurs appareils et configurations sont plus homogènes que ceux de l'internaute moyen.

La troisième ligne change de contexte. Le script de collecte était installé sur des sites d'actualité français classés dans le top 15 du trafic, et il captait les visiteurs ordinaires de deux pages : la météo et la politique. Les mêmes une douzaine d'attributs ont été utilisés.

Mêmes attributs, autre population : l'unicité tombe de 90 % à un tiers.

L'unicité n'est donc pas une propriété fixe d'un appareil. Elle dépend de trois conditions simultanées : combien d'éléments sont collectés, auprès de qui, et par quelle méthode. En 2021, des chercheurs ont élargi le jeu d'attributs d'une douzaine à plus de deux cents, puis mesuré à nouveau. La part d'empreintes uniques est remontée à 81 %. Plus on collecte d'éléments, plus les personnes se séparent.

Cette étude sur les sites français a aussi livré un constat plus utile. Les empreintes non uniques y étaient décrites comme fragiles.

Une machine qui recoupait auparavant des dizaines de milliers d'autres peut basculer dans la catégorie unique après un simple changement de configuration. Une mise à jour du navigateur, une extension de plus, un réglage de résolution : tout compte. Je ressemble à quelqu'un d'autre n'est pas une preuve de sécurité, seulement le signe que vous n'avez pas encore été séparé.

Une empreinte a trois points d'entrée, un seul dépend de scripts

Pour répondre à la question de ce qu'un site peut réellement voir, il faut regarder trois couches. Sur ces trois, seule la plus basse dépend des scripts ; les deux autres sont déjà terminées avant qu'un seul script ne s'exécute. Le site lui-même explique l'isolation des environnements selon ces mêmes trois couches : appareil, navigateur et réseau.

Couche connexion : l'adresse est notée avant même que la requête parte

Avant qu'une page s'ouvre, le navigateur doit d'abord échanger avec le serveur, puis envoyer la requête. Dans ce processus, le serveur a déjà votre adresse de sortie et un jeu de paramètres négociés.

Ces paramètres couvrent les méthodes de chiffrement prises en charge des deux côtés, les extensions et l'ordre de préférence. Ce qui est annoncé, et dans quel ordre, dépend de la version du navigateur et de l'environnement d'exécution. Ces valeurs ne concernent pas le contenu de la page et ne demandent aucun consentement de votre part : ce sont des sous-produits de la communication elle-même.

L'adresse et ce jeu de paramètres suffisent déjà à un premier tri. À quel opérateur appartient la ligne, et quelle version et quel navigateur se trouvent en face, sont généralement discernables.

Couche en-têtes : le navigateur annonce chaque fois quelques éléments

Les en-têtes sont les annotations que le navigateur joint à une requête. Quelques-uns sont presque toujours présents : les langues acceptées, les méthodes de compression prises en charge, sa propre chaîne d'identification, et la page d'où l'on vient.

L'entrée de langue est déterminée par le système et le navigateur, et elle est plus fine qu'on ne le croit. Le chinois, par exemple, se subdivise encore selon l'écriture et la région. Leur trait commun : ils sont discrets, stables et toujours présents. Ils ne changent ni avec le site visité, ni quand vous effacez votre historique.

Couche page : les scripts lisent plus que vous ne pensez

Une fois la page chargée, les scripts peuvent continuer à poser des questions. Dimensions d'écran et de fenêtre, décalage de fuseau horaire, nombre de cœurs CPU, palier de mémoire : tout cela est lisible. Ces interfaces sont publiques dans le navigateur, et la documentation des interfaces du navigateur les liste en détail, de sorte que n'importe quel site peut les appeler directement.

Demandez ce qu'est une empreinte de navigateur et la plupart des gens pensent d'abord au canvas et aux polices. Ces deux éléments sont effectivement les plus souvent cités, non parce qu'ils seraient exotiques, mais parce qu'ils sont les plus difficiles à modifier.

Canvas et polices : les deux plus souvent cités

La méthode du canvas est directe. La page dessine une forme ou une ligne de texte à un endroit que vous ne voyez pas, puis relit l'image obtenue pixel par pixel.

Les mêmes instructions produisent des pixels qui ne sont pas tout à fait identiques selon la carte graphique, le pilote et le système. Les écarts sont trop fins pour l'œil, mais assez stables. Vous changez de fond d'écran ou de niveau de zoom, et ils sont toujours là.

La liste de polices prend un autre chemin. La page ne demande pas quelles polices vous avez installées : elle essaie les noms d'une série de polices courantes, un par un. Elle affiche une ligne de texte à une taille donnée, et si la largeur mesurée ne correspond pas à l'attendu, cette police n'est pas sur votre machine. Plus elle essaie de noms, plus le relevé s'allonge.

Les polices arrivées avec un logiciel de design comptent ici. C'est pourquoi une empreinte de polices est souvent plus parlante que la taille d'écran : elle enregistre quels logiciels vous avez installés et à quoi vous servez cette machine.

Différences de rendu : la catégorie cachée dans les pixels

Le canvas n'est qu'une sortie parmi d'autres pour les différences de rendu. La chaîne de traitement audio, les interfaces graphiques et les codecs vidéo laissent chacun de petites variations liées au matériel ; sur une même machine, elles s'emboîtent d'une manière difficile à reproduire ailleurs.

Cette catégorie a un point commun : elle est déterminée par le matériel et les pilotes, et ne se modifie pas. Régler le navigateur, vider le cache, changer de ligne : rien de tout cela ne les atteint.

Plus remarquable encore que le nombre, c'est la stabilité. Ces valeurs sont assez stables pour servir durablement d'identifiant d'appareil, et c'est précisément parce qu'elles sont stables que rendre un ou deux paramètres plus rares ne résout généralement rien.

Désactiver JavaScript règle-t-il le problème ?

Si vous coupez les scripts, le troisième point d'entrée est effectivement fermé. La page ne peut plus lire la liste de polices ni obtenir de résultat de rendu.

Mais les deux premières couches restent. Les en-têtes sont toujours là, l'adresse de sortie est toujours notée, et les paramètres négociés de la couche connexion sont également présents. Désactiver les scripts retire une couche, pas toutes.

Dans l'expérience de 2010, les navigateurs avec scripts désactivés formaient une catégorie à part, décrite comme relativement difficile à empreinter. À l'époque, la manœuvre était réellement efficace.

Mais relativement difficile et réellement dissimulé sont deux choses différentes. Tout le monde autour de vous a les scripts activés, et vous faites justement partie de la petite minorité qui les a coupés : ce fait seul constitue un trait distinctif. Un état rare ne fait pas disparaître, il fait plutôt repérer plus facilement.

Le vrai problème n'est pas là. La gêne causée par une empreinte vient surtout du fait qu'un même groupe d'identités est relié entre elles, et non du caractère plus ou moins bien dissimulé d'un paramètre. C'est aussi pourquoi rendre les paramètres plus bigarrés et plus rares n'aide généralement pas.

Changer de navigateur sur le même ordinateur : ce qui suit et ce qui ne suit pas

Beaucoup pensent qu'installer plusieurs navigateurs revient à avoir plusieurs identités. En pratique, le changement est plus faible que prévu. Vu leur comportement après un changement de navigateur, ces éléments se répartissent en deux groupes.

• Ce qui suit : la chaîne user-agent, les résultats de rendu des interfaces graphique et canvas, la liste d'extensions, le stockage local et l'état de connexion.
• Ce qui ne suit pas : le modèle de carte graphique et de pilote, les paramètres physiques de l'écran, le nombre de cœurs CPU, le palier de mémoire, le fuseau horaire système, les polices au niveau système.

Le premier groupe vient du navigateur lui-même ; une réinstallation, une mise à jour ou une extension ajoutée le réordonne. Le second vient du matériel et du système, et reste identique quel que soit le nombre de navigateurs installés. C'est lui qui relie plusieurs machines d'apparence différente.

Trois navigateurs ouverts sur un même ordinateur ressemblent, aux yeux d'un site, davantage à trois usages d'un même appareil qu'à trois appareils.

Autotest en trois étapes : comment s'en servir en gestion de comptes multiples

Les sites de test publics fonctionnent sans inscription. Plutôt que de croire une conclusion, il vaut mieux regarder ce que votre propre machine annonce réellement. En gestion de comptes multiples, l'ordre des opérations compte davantage que les relevés eux-mêmes, et le parcours de zéro à votre premier profil range proxys, formulaires et listes de vérification dans l'ordre.

L'ordre des tests peut se fixer ainsi :

1. Regardez d'abord de quels éléments vient l'unicité. À la fin du test, ne regardez pas le score global, mais les éléments les plus uniques signalés : ce sont en général les parties les plus difficiles à modifier.
2. Testez ensuite deux navigateurs de la même machine, une fois chacun, et entourez les éléments identiques dans les deux passages. Ces recoupements appartiennent à la couche matériel et système, et aucun changement de navigateur ne les fera disparaître.
3. Repassez enfin le test avec les scripts désactivés et regardez quelles valeurs restent lisibles. Ce qui reste est la part accessible sans scripts.

Après ces trois étapes, on aboutit en général à la même conclusion. Les éléments vraiment difficiles à modifier sont peu nombreux, mais ce sont eux qui tiennent votre identité stable.

En suivant cette conclusion, l'approche multi-comptes se déduit sans peine. Il s'agit de faire en sorte que l'environnement de chaque compte reste cohérent à l'intérieur de son propre ensemble ; les paramètres n'ont pas besoin d'être plus exotiques.

MostMate place cela à l'étape de création d'un profil. Langue, langue d'interface, fuseau horaire et localisation suivent par défaut la sortie. Les éléments matériels comme l'écran, le nombre de cœurs et la mémoire ne proposent que deux paliers, réel et aléatoire ; pour s'écarter de la valeur par défaut, il faut la choisir une fois à la main. Ce jeu de valeurs et la comparaison avec une configuration manuelle, poste par poste sont visibles côte à côte sur le site.

Les raisons de ces arbitrages sont détaillées dans ce que chaque principe de conception bloque. Quel principe correspond à quel type de défaillance, et lequel protéger en priorité quand deux d'entre eux s'opposent, tout y est expliqué.

Si vous préférez passer à la pratique, vous pouvez télécharger MostMate et refaire les trois étapes ci-dessus sur votre propre environnement une fois installé.

Pour voir d'abord comment MostMate rassemble ces valeurs dans une gestion d'environnements unifiée, commencez par la présentation du produit.

Questions fréquentes

Effacer les cookies ou utiliser la navigation privée change-t-il l'empreinte ?

Non. Les cookies et le stockage local sont des pense-bêtes que le navigateur laisse pour le site ; effacez-les et ils disparaissent. Une empreinte, c'est autre chose : elle est lue en direct depuis l'appareil et le navigateur, et rien n'est stocké sur votre machine. La navigation privée limite ce qui reste en local, elle ne change pas ce que le navigateur annonce à l'extérieur.

Changer d'IP, est-ce changer d'identité ?

Vous n'avez changé que la couche réseau. Préférence de langue, polices, carte graphique et fuseau horaire système ne changent pas avec l'IP. Et si la région de la nouvelle ligne ne correspond ni à votre fuseau horaire ni à votre langue, vous fabriquez au contraire une combinaison incohérente.

Une extension anti-fingerprinting est-elle utile ?

L'approche courante consiste à ajouter du bruit à certains éléments, ou à les uniformiser sur une valeur répandue. L'uniformisation permet bien de se fondre dans la masse, au prix d'un partage des mêmes caractéristiques par tout le groupe. Le bruit, lui, peut faire qu'un même environnement annonce deux valeurs différentes selon les passages, ce qui est en soi une anomalie. Ni l'une ni l'autre n'atteint la couche matériel et système.

Les sites comparent-ils vraiment les empreintes ?

En prévention de la fraude et en gestion des risques, c'est une pratique courante, surtout à la connexion, à l'inscription et au paiement. La plupart des sites la traitent toutefois comme un signal parmi d'autres, lu avec le comportement du compte et l'historique de l'appareil ; il est rare qu'ils tranchent sur un seul élément.

Deux ordinateurs exactement du même modèle ont-ils la même empreinte ?

Pas tout à fait la même. Des machines du même modèle divergent vite sur la version du système, les polices, les pilotes, le fuseau horaire, la langue et les extensions installées, et tous ces écarts se retrouvent dans l'empreinte. Les machines clonées issues d'installations en série s'en approchent le plus, mais cela ne représente qu'une petite part des cas réels.

Avec un navigateur anti-détection, suis-je introuvable ?

Non. Un navigateur anti-détection travaille sur les frontières entre environnements, en donnant à chaque compte une identité de navigateur indépendante et cohérente avec elle-même. Il ne change pas la manière dont une plateforme détermine la propriété d'un compte, et ne promet aucun résultat. Une distinction compte encore : la cohérence d'empreinte relève de l'autocontrôle, pas d'une règle de détection de la plateforme. Confondre les deux conduit à attendre de l'outil plus qu'il ne peut donner.