Quels signaux sont utilisés ?
Les classiques, du plus au moins distinctif :
- Empreinte canvas : un site demande au navigateur de dessiner une petite image, puis en relit les pixels. De minuscules différences de pilotes graphiques, de modèle de GPU et de système produisent une image légèrement différente, assez pour que le résultat soit presque unique par appareil.
- Empreinte WebGL : similaire au canvas, mais avec les API graphiques 3D. Révèle assez directement le modèle de votre GPU et la version du pilote.
- Empreinte audio : le traitement audio du navigateur présente d’infimes différences numériques selon le système. Un site peut jouer un son via l’API (sans que vous l’entendiez) et lire la forme d’onde obtenue.
- Liste des polices : les polices installées sont un signal étonnamment distinctif. Un ordinateur typique en compte 50 à 200 ; la même liste exacte se retrouve rarement.
- Taille d’écran et densité de pixels
- Chaîne User-Agent et Client Hints (votre navigateur, sa version, votre système)
- Fuseau horaire, langue, nombre de cœurs, mémoire disponible, API Battery dans certains navigateurs
Chacun de ces signaux est faible. Combinés, ils atteignent une unicité de l’ordre d’un sur plusieurs millions.
Pourquoi cela fonctionne même si vous bloquez les cookies
Les cookies tiers sont sur le point de disparaître de tous les grands navigateurs. L’empreinte numérique est l’alternative vers laquelle l’industrie publicitaire s’est déjà tournée. Les signaux utilisés ne sont pas des « données de pistage » que vous pourriez refuser de fournir : ce sont des données que le navigateur doit envoyer pour que la page s’affiche correctement. La taille de votre écran compte parce que les pages s’y adaptent. Vos polices comptent parce que la page choisit la meilleure. Le fait que la combinaison soit unique est un effet secondaire de l’obligation d’envoyer ces données.
Comment les navigateurs ripostent
Deux stratégies, toutes deux imparfaites :
- L’uniformité (l’approche de Tor) : faire en sorte que tous les utilisateurs de Tor se ressemblent. Même empreinte, même taille d’écran, mêmes polices. L’inconvénient : le web se casse de mille petites façons, pages affichées à la « mauvaise » taille, polices remplacées, applications web qui détectent mal votre appareil.
- L’aléatoire (l’approche de Brave et de Dazr) : ajouter un léger bruit aux signaux, différent pour chaque domaine. Deux visites sur le même site obtiennent des résultats cohérents (les connexions fonctionnent) ; deux sites différents voient des empreintes différentes. C’est le compromis de la plupart des navigateurs respectueux de la vie privée pour le quotidien.
La défense de Dazr est activée par défaut et s’applique aux mesures canvas, WebGL, audio et polices, avec des exceptions par site pour les rares sites qui ne la supportent pas.
Ce que vous pouvez vraiment faire
Pour réduire votre empreinte, les options sont limitées :
- Utilisez un navigateur avec protection contre l’empreinte activée par défaut (Dazr, Tor Browser, Brave avec Shields en mode strict)
- Désactivez l’API Battery, les plugins et les fonctions inutiles dans les paramètres avancés
- N’installez pas de polices dont vous n’avez pas besoin
- Sachez que même avec JavaScript désactivé, l’empreinte passive (en-têtes HTTP, IP, taille d’écran via CSS) reste possible