Suivi, cookies et empreinte numérique

Les sites web utilisent plusieurs mécanismes pour suivre les utilisateurs d’une session et d’un site à l’autre : cookies, stockage local, pixels de pistage et empreinte du navigateur. Ces données servent à la publicité, à l’analyse et parfois au profilage malveillant.

Les cookies de première partie sont définis par le site web que vous consultez. Ils stockent l’état de la session, les préférences et les jetons d’authentification. Ils sont généralement nécessaires au fonctionnement des sites web et sont considérés comme acceptables.

Les cookies tiers sont définis par des domaines autres que celui que vous consultez — généralement des réseaux publicitaires, des fournisseurs d’analyses ou des modules de réseaux sociaux. Ils vous suivent sur tous les sites qui intègrent leurs ressources.

Les principaux navigateurs abandonnent progressivement les cookies tiers.

Attributs importants pour la sécurité des cookies :

• HttpOnly — empêche l’accès par JavaScript (protection contre XSS)
• Secure — envoyé uniquement via HTTPS
• SameSite=Strict/Lax — empêche les attaques CSRF
• Max-Age/Expires — limite la durée de vie de la session

Un pixel de pistage est une image transparente de 1x1 intégrée dans des courriers électroniques ou des pages web. Lorsqu’elle est chargée, elle transmet l’adresse IP de l’utilisateur et l’heure de chargement au dispositif de pistage. Les clients de messagerie qui chargent automatiquement les images révèlent quand les courriers électroniques sont ouverts et depuis quel endroit.

Les API web comme localStorage et sessionStorage permettent aux sites de stocker des données dans le navigateur. Contrairement aux cookies, ces données ne sont pas automatiquement envoyées au serveur et peuvent en stocker davantage. Elles persistent après la fermeture du navigateur (localStorage) jusqu’à leur suppression explicite.

L’empreinte du navigateur identifie les utilisateurs sans cookies en combinant des caractéristiques uniques du navigateur :

• Chaîne de l’agent utilisateur
• Résolution de l’écran et profondeur des couleurs
• Polices et modules d’extension installés
• Rendu du canevas et de WebGL
• Paramètres de fuseau horaire et de langue

Chaque combinaison est hautement unique — souvent plus fiable que les cookies.

L’empreinte par canevas dessine des graphiques masqués dans un élément canevas HTML. Les différentes combinaisons de GPU et de pilotes rendent le texte de manière légèrement différente. Le hachage des données des pixels identifie l’appareil de manière unique sans définir de cookies.

Mesures contre le pistage :

• Utilisez Firefox avec la protection renforcée contre le pistage
• uBlock Origin avec des listes de blocage du pistage
• Privacy Badger pour un blocage fondé sur l’apprentissage
• Tor Browser pour un anonymat maximal
• Désactivez JavaScript sur les sites sensibles (cela bloque la prise d’empreinte)

Tor Browser standardise toutes les valeurs d’empreinte entre les utilisateurs : tout le monde paraît identique. Il achemine également le trafic par trois relais, masquant votre adresse IP. Contrepartie : une réduction importante des performances, et certains sites bloquent les nœuds de sortie de Tor.

Le GDPR (EU) et la directive ePrivacy exigent d’obtenir le consentement avant de déposer des cookies non essentiels. Les bannières de cookies sont apparues en conséquence. Malgré ces bannières, l’application de ces règles reste inégale et de nombreux sites utilisent des interfaces manipulatrices pour inciter les utilisateurs à accepter tous les cookies.

Les sites web suivent les utilisateurs au moyen de cookies de première et de tierce partie, de pixels de pistage, de localStorage et de l’empreinte du navigateur. La prise d’empreinte est particulièrement persistante : elle ne nécessite aucun cookie et survit à l’effacement du cache. Les protections comprennent ETP (Firefox), uBlock Origin, Privacy Badger et Tor Browser pour les besoins élevés en matière de confidentialité.