Do Not Track, qu'est-ce que c'est ? Le bouton « Ne pas me pister » face à l'empreinte du navigateur

Do Not Track, c'est le message « veuillez ne pas me pister » que votre navigateur envoie aux sites web : une simple déclaration d'intention, sans force obligatoire ; ce que les sites en font, s'ils lisent ce signal et comment ils l'interprètent, voilà le point d'entrée de son lien avec l'empreinte du navigateur. Dans la page de réglages, l'option discrète « ne pas me pister » a fait hésiter plus d'un utilisateur. Cet article l'examine en détail : son fonctionnement, les raisons de son abandon, sa relation avec l'empreinte et les limites de son influence. La dernière partie passe à la pratique : comment vérifier ce signal dans un navigateur anti-détection.

Do Not Track, qu'est-ce que c'est exactement

Do Not Track (DNT en abrégé) est un en-tête HTTP qui exprime aux sites la préférence « l'utilisateur ne souhaite pas être suivi d'un site à l'autre ». Le concept a été proposé par des chercheurs en 2009, et Firefox 4 a été le premier à le prendre en charge officiellement en 2011. Chrome, Safari et IE ont emboîté le pas. Une fois activé, chaque requête du navigateur transporte un champ d'en-tête supplémentaire. Il prend trois valeurs : 1 pour signaler un refus d'être suivi, 0 pour ne pas y voir d'inconvénient, null (ou l'absence d'envoi) pour l'absence de préférence exprimée.

Des scripts web peuvent aussi lire la même valeur via la propriété navigator.doNotTrack. Le détecteur peut donc obtenir cette valeur par deux voies : l'en-tête et le script.

Il faut dire clairement ce qu'est le DNT. Ce n'est qu'une « demande ». Le respect en dépend entièrement du bon vouloir du site. Aucune loi n'oblige les plateformes à y répondre, et aucun mécanisme de sanction ne le garantit. Dans les faits, DNT n'a pas reçu une adhésion assez large, et l'activer ne garantit pas que le site cesse de vous suivre. La présentation de l'en-tête DNT par MDN le signale désormais comme obsolète, en précisant que cette spécification a cessé d'avancer.

Pourquoi les navigateurs l'ont abandonné l'un après l'autre

Les raisons de l'abandon du DNT tiennent en deux phrases : les sites le respectaient à peine, et il pouvait lui-même devenir une variable d'empreinte. Au fil de ce parcours de plus de dix ans, trois jalons méritent d'être retenus :

1. Vers 2011, DNT a été adopté par plusieurs navigateurs majeurs, dans l'espoir de laisser les utilisateurs exprimer via un en-tête leur refus d'être suivis. À l'époque, les médias le présentaient comme un standard de la protection de la vie privée.
2. En 2019, le W3C a jugé que cette norme manquait de déploiement réel suffisant et a mis fin aux travaux. La même année, Safari a retiré sa prise en charge pour éviter que DNT ne devienne une variable d'empreinte.
3. En 2025, Firefox a supprimé le réglage DNT à partir de la version 135, pour orienter les utilisateurs vers des options de confidentialité fondées sur GPC (Global Privacy Control). GPC exprime la même volonté de retrait via l'en-tête Sec-GPC. Il reste activement utilisé à ce jour.

GPC et DNT présentent une différence de fond : la force juridique de GPC découle du champ d'application de réglementations de confidentialité précises. Dans les cas couverts par ces réglementations, les sites sont tenus de répondre à ce signal. Cela ne signifie pas que tous les sites, dans toutes les régions, doivent s'y plier, mais il existe enfin un levier contraignant.

Avec le recul, l'échec du DNT ne tient pas à sa mise en œuvre technique, mais à la conception du mécanisme : une déclaration sans force obligatoire, dont le respect relève du pur volontariat. Cette histoire éclaire aussi autre chose : pourquoi sa relation avec l'empreinte a pris le chemin inverse.

DNT et empreinte : une traçabilité accrue possible, mais avec des limites

À la différence d'informations matérielles comme la taille de l'écran ou le système d'exploitation, DNT exprime la préférence de suivi du navigateur. Mais dès qu'un site peut lire cette valeur, elle peut entrer dans l'analyse combinée des caractéristiques du navigateur. C'est l'unique chemin de son lien avec l'empreinte. La grande majorité des utilisateurs n'a jamais ouvert la page des réglages de confidentialité : DNT reste dans l'état « non envoyé ». Ceux qui l'activent sont peu nombreux. Dans un système d'évaluation qui prend pour fil conducteur la différence avec la majorité, les valeurs minoritaires portent naturellement une touche de traçabilité.

Sa portée est plus étroite qu'on ne l'écrit souvent. Trois points :

1. DNT n'est pas un identifiant unique. Il ne suffit pas à prouver que deux requêtes viennent du même appareil, encore moins à conclure seul à une association de comptes. On ne peut observer de l'extérieur ni si le système de détection lit ce signal, ni le poids qu'il lui accorde.

2. Une valeur différente ne veut pas dire un environnement anormal. La version du navigateur, les réglages de confidentialité et le mode d'implémentation influencent tous le résultat détecté. Des états DNT différents ne mènent pas forcément à la même conclusion.

3. La cohérence ne veut pas dire qu'uniformiser toujours plus rend plus sûr. Rien ne justifie d'activer ou de désactiver DNT dans tous les environnements ; la direction de la valeur n'a pas de réponse standard.

La raison donnée par Apple lors du retrait du DNT est à ce jour la confirmation officielle la plus directe : ce champ d'en-tête peut servir de variable d'empreinte. Pouvoir être utilisé et l'être réellement, ce sont deux choses. La lecture prudente est la suivante : DNT se trouve dans le périmètre lisible par les sites ; l'ampleur exacte de l'effet dépend des pratiques de celui qui collecte, pas de l'interrupteur lui-même.

Pour savoir quels traits votre environnement expose, parcourez point par point la démarche du guide de notation du test Whoer. Les signaux de type DNT figurent aussi dans les résultats renvoyés par la page de test.

Comment vérifier le DNT dans un navigateur anti-détection

Le cœur de la vérification tient en une règle : se fonder sur le signal réellement reçu par le site, non sur l'interrupteur vu dans la page de réglages. DNT est obsolète et sa prise en charge varie selon les navigateurs. Firefox 135 a déjà retiré le réglage d'origine, et MDN marque comme obsolètes aussi bien l'en-tête DNT que navigator.doNotTrack.

Interrupteur affiché et signal émis ne coïncident pas forcément.

Voici la marche à suivre, tableau à l'appui :

Croisez si possible les résultats de l'en-tête et de la lecture par script. Si les deux voies donnent la même valeur, le signal de cet environnement est cohérent. En cas d'écart, il vaut la peine d'examiner la version du noyau du navigateur et sa configuration.

MostMate est un navigateur anti-détection qui isole la configuration du navigateur par environnement. Chaque compte dispose de son propre environnement, avec un jeu de paramètres sauvegardé séparément. Se connecter à un environnement, c'est utiliser ce jeu de réglages. Les environnements ne partagent rien entre eux. Les signaux de niveau navigateur comme Do Not Track sont gérés, avec la langue, le fuseau horaire et WebRTC, dans la configuration de l'environnement : aucun traitement particulier au changement d'environnement. Le guide de contrôle de cohérence de l'User-Agent détaille l'idée « aucun paramètre ne doit dériver dans un même environnement », applicable aussi au DNT. Pour le rôle de chaque module, consultez la présentation du produit.

Pour aller plus loin et repérer d'éventuels autres désalignements entre environnements, suivez les étapes du guide d'auto-diagnostic du risque d'association de comptes. Comparez ensemble la configuration des environnements, le proxy et l'historique des opérations sur les comptes. DNT n'est qu'un élément parmi d'autres ; pris isolément, il dit peu de choses.

Questions fréquentes

Activer Do Not Track, est-ce utile ?

Utilité limitée. C'est une déclaration sans force obligatoire, qui n'a pas reçu une adhésion assez large et n'empêche pas activement les scripts de suivi de fonctionner. Les outils de blocage de contenu relèvent d'un autre mécanisme : ils bloquent directement les requêtes de suivi. Les deux ne se confondent pas.

Quelle différence entre DNT et le mode privé ?

Deux choses différentes. DNT est une déclaration adressée aux sites, qui concerne « l'autre peut-il me suivre » ; le mode privé est un comportement local, qui concerne « l'historique de navigation et les cookies se déposent-ils sur cet appareil ». Le mode privé n'envoie pas de DNT, et activer DNT n'empêche pas le site de lire votre empreinte.

GPC remplacera-t-il DNT ?

En tendance, oui. GPC exprime la même volonté de retrait via l'en-tête Sec-GPC, et sa force juridique découle du champ d'application de réglementations de confidentialité précises. Dans les cas couverts, les sites doivent répondre : un statut que DNT n'a jamais obtenu. Il ne s'applique pas dans toutes les régions ni à tous les sites.

Conclusion

Les quinze ans de Do Not Track montrent qu'une « demande polie » n'arrête pas le « suivi commercial », et illustrent un détail de la prise d'empreinte : un interrupteur censé exprimer une préférence de confidentialité entre lui-même dans le périmètre lisible par les sites.

Pour les opérateurs multi-comptes, l'approche concrète consiste à vérifier plutôt qu'à s'interroger sur le sens de l'interrupteur : confirmer la prise en charge par le navigateur, recouper l'en-tête et la lecture par script, et garantir que la valeur d'un même environnement ne dérive pas.

Si votre dispositif de configuration des environnements et des signaux n'est pas encore en place, commencez par la lecture de qu'est-ce que l'empreinte de navigateur pour compléter les notions, puis fixez votre configuration d'environnement dans MostMate. Ce qui touche aux signaux doit être stabilisé dès le premier jour.