Se protéger

Le fingerprinting du navigateur est une manière de vous reconnaître d'un site à l'autre sans jamais rien stocker sur votre appareil. Au lieu de déposer un cookie, un site lit la configuration que votre navigateur lui révèle et construit un identifiant à partir de cette combinaison. L'Electronic Frontier Foundation le décrit comme une méthode de pistage des navigateurs par la configuration et les réglages qu'ils rendent visibles aux sites, plutôt que par les moyens traditionnels comme les adresses IP et les cookies.

Pris séparément, ces éléments semblent inoffensifs, et ils le sont. La version de votre navigateur et de votre système d'exploitation. La résolution de votre écran et sa profondeur de couleur. Votre fuseau horaire et votre langue. Les polices installées chez vous. Le fait que vous ayez ou non un écran tactile. La façon dont votre machine dessine une image cachée, ce qui produit une empreinte canvas ou WebGL. Le fait que vous acceptiez les cookies, et même que vous envoyiez un en-tête Do Not Track.

La puissance vient de la combinaison. Des millions de personnes partagent la version de votre navigateur. Bien moins nombreuses sont celles qui partagent cette version et la taille exacte de votre écran. Moins nombreuses encore celles qui partagent en plus votre liste de polices et votre fuseau horaire. Empilez suffisamment de ces éléments et le résultat peut isoler une seule machine parmi des millions, et c'est bien pour cela que la technique fonctionne.

Voici la partie qui surprend, et c'est la raison pour laquelle ce sujet compte plus qu'un énième article sur le pistage. Effacer vos cookies n'aide pas. L'EFF le dit clairement : supprimer vos cookies n'aidera pas, parce que ce sont les caractéristiques de la configuration de votre navigateur qui sont analysées. Il n'y a rien à supprimer. L'empreinte n'est pas stockée sur votre machine, elle est recalculée à chacune de vos arrivées.

C'est aussi pour cela que la navigation privée fait moins que son nom ne le suggère. Le mode incognito efface l'historique et les cookies de votre appareil quand vous fermez la fenêtre. Il ne change ni la résolution de votre écran, ni vos polices, ni la façon dont votre carte graphique rend une image, si bien que l'empreinte que vous présentez reste largement la même qu'avant. La navigation privée masque votre piste vis-à-vis des autres personnes qui utilisent votre ordinateur, pas vis-à-vis des sites que vous visitez.

La conséquence inconfortable, c'est que certaines mesures de confidentialité peuvent vous rendre plus faciles à identifier plutôt que l'inverse. Un navigateur rare, un jeu de polices inhabituel, une longue liste d'extensions ou une taille d'écran peu commune vous font tous sortir du lot. Se fondre dans la masse marche mieux que se démarquer, ce qui est un compromis inconfortable quand l'instinct pousse à tout personnaliser.

Il faut être honnête sur la difficulté du problème. L'EFF qualifie le fingerprinting à la fois de difficile à détecter et d'extrêmement difficile à contrer, et dit des défenses disponibles qu'aucune d'elles n'est idéale. Quiconque promet de vous rendre impossible à identifier par empreinte avec un seul réglage exagère.

Cela dit, la situation n'est pas désespérée, et les options réalistes méritent d'être connues. Tor Browser prend au sérieux l'approche du fondu dans la masse : il vise à faire en sorte que ses utilisateurs se ressemblent, ce qui est une stratégie différente de celle qui rend chaque utilisateur unique. Certains navigateurs grand public intègrent désormais des protections contre le fingerprinting, d'efficacité variable. Les extensions de blocage de traqueurs réduisent le nombre d'acteurs qui peuvent effectuer la mesure au départ.

Vous pouvez aussi tout simplement regarder votre propre résultat. L'EFF propose un outil gratuit, Cover Your Tracks, qui teste votre navigateur et vous dit à quel point il est identifiable. C'est le moyen le plus rapide de transformer une inquiétude abstraite en un chiffre concret pour votre configuration précise, et cela ne coûte rien.

L'essentiel tient à un changement de modèle mental plutôt qu'à une liste de cases à cocher. Le pistage ne concerne pas seulement ce qu'un site stocke sur votre appareil. Il concerne aussi ce que votre appareil raconte à chaque site, automatiquement, avant même que vous cliquiez sur quoi que ce soit. Le comprendre rend les limites des bandeaux de cookies et des fenêtres privées bien plus faciles à voir.