Une empreinte de navigateur, c'est quoi
Quand votre navigateur ouvre une page, il révèle une foule de détails sur lui-même et sur votre appareil. Pris isolément, aucun n'est identifiant. Mais mis bout à bout, ils forment une combinaison souvent assez rare pour vous reconnaître — c'est l'empreinte de navigateur.
Sa particularité : elle ne repose sur aucun cookie. Un site peut donc vous reconnaître même après un nettoyage complet du navigateur, et même si votre adresse IP a changé. Contrairement à un cookie, une empreinte ne se supprime pas d'un clic.
Une image simple
Deux personnes peuvent avoir la même taille. Ou la même couleur d'yeux. Ou la même paire de chaussures. Mais la combinaison des trois, plus dix autres détails, ne laisse presque plus de doute. L'empreinte, c'est ce cumul de petits détails.
De quoi une empreinte est faite
Les signaux collectés se rangent en quelques familles. La plupart sont lisibles en JavaScript, en quelques millisecondes, sans que vous ne remarquiez rien.
- Le matériel et l'affichage : résolution et profondeur d'écran, nombre de cœurs, mémoire annoncée.
- Le logiciel : système d'exploitation, version du navigateur, langue, fuseau horaire.
- Les polices installées : leur liste varie d'un appareil à l'autre et en dit long.
- Le rendu graphique : la façon dont votre machine dessine une image (voir plus bas).
- Divers : capacités audio, périphériques média, extensions détectables, granularité de l'horloge.
Selon plusieurs études, les attributs les plus distinctifs sont la liste des polices, le rendu graphique, la chaîne d'identification du navigateur (« user-agent ») et, historiquement, la liste des plugins.
Canvas et WebGL : la signature du dessin
Deux techniques méritent un mot, parce qu'elles sont particulièrement révélatrices. Le principe est contre-intuitif : on demande au navigateur de dessiner, puis on regarde exactement comment il a dessiné.
Canvas
Le site demande à votre navigateur de dessiner un texte ou une forme dans une zone invisible, puis il en calcule une empreinte. Deux machines qui dessinent la même chose ne produisent pas exactement les mêmes pixels : les minuscules écarts viennent de la carte graphique, du pilote, du moteur de rendu des polices et du lissage. Ces différences, imperceptibles à l'œil, suffisent à distinguer les appareils.
WebGL
Même idée, en trois dimensions. Le navigateur produit une scène 3D via la couche graphique de la machine, puis on en tire une empreinte. Parce qu'il sollicite plus directement le processeur graphique, WebGL donne une signature souvent plus précise encore que le canvas.
Pourquoi une empreinte est (presque) unique
La question n'est pas « suis-je identifiable ? » mais « à quel point ». On la mesure en entropie : plus un attribut vous distingue, plus il apporte de bits d'information. Le rendu canvas, à lui seul, pèse plusieurs bits — beaucoup, à l'échelle du web.
Le projet de recherche AmIUnique a mesuré que le navigateur médian de son échantillon était distinguable de 99,1 % des autres — seuls 0,9 % partageaient une empreinte identique avec au moins un autre.
— AmIUnique / « Hiding in the Crowd » (conférence WWW 2018)
Autrement dit, une configuration « normale » n'est pas anonyme pour autant : elle est souvent unique. Et une configuration trop rare (police exotique, résolution inhabituelle) l'est encore plus.
Pourquoi ça compte
Deux usages, opposés. Côté pistage, l'empreinte permet de suivre un visiteur sans cookie, d'un site à l'autre, à des fins publicitaires ou de détection de fraude. Côté légitime, comprendre l'empreinte est indispensable dès qu'on gère plusieurs identités numériques qui doivent rester séparées.
Car si deux comptes professionnels distincts sont ouverts depuis le même navigateur, ils partagent la même empreinte — et deviennent faciles à relier. C'est exactement le problème que résout le cloisonnement : une empreinte distincte et cohérente par identité. On revient sur les outils qui s'en chargent dans VPN, navigation privée, antidétection, et sur la couche réseau dans les quatre types de proxy.
Comment voir votre propre empreinte
Le meilleur moyen de comprendre, c'est de regarder la sienne. Des outils de recherche indépendants affichent les signaux que votre navigateur expose et estiment à quel point il est identifiable. L'outil « Cover Your Tracks » de l'Electronic Frontier Foundation et le projet AmIUnique sont deux bonnes portes d'entrée.
Ce que ces tests montrent souvent
Même avec un bloqueur de publicités et un VPN, l'empreinte reste largement intacte : ni l'un ni l'autre ne touche au canvas, aux polices ou au rendu graphique. C'est le point que les gens découvrent le plus souvent avec surprise.
On n'efface pas une empreinte : on se fond dans la masse
Puisqu'une empreinte ne se supprime pas, l'objectif réaliste n'est pas de disparaître, mais d'être banal. Une empreinte cohérente et répandue attire moins l'attention qu'une empreinte bricolée : paradoxalement, trop vouloir se cacher (désactiver des API, mentir maladroitement sur ses attributs) crée des incohérences qui, elles, ressortent.
C'est toute la difficulté. Modifier un attribut au hasard ne suffit pas ; il faut un ensemble cohérent, où le système annoncé, les polices, le fuseau et le rendu se tiennent. C'est précisément ce que gère un navigateur antidétection au niveau du moteur, plutôt que par des rustines en JavaScript qui se repèrent.
Vexlo prend ce parti : gérer l'empreinte de façon cohérente et cloisonner chaque identité, sans rien promettre d'irréaliste. Voir comment ça marche.