Fingerprinting navigateur : risques et protections

Les informations accessibles par JavaScript

Un site peut interroger certaines propriétés exposées par le navigateur. Par exemple :

function obtenirInformationsNavigateur() {
return {
navigateur: navigator.userAgent,
langue: navigator.language,
plateforme: navigator.platform,
fuseauHoraire: Intl.DateTimeFormat()
.resolvedOptions().timeZone,
largeurEcran: screen.width,
hauteurEcran: screen.height,
processeursLogiques: navigator.hardwareConcurrency
};
}
console.log(obtenirInformationsNavigateur());

Ces valeurs peuvent ensuite être rapprochées d'autres signaux : taille de la fenêtre, capacités graphiques, polices disponibles, prise en charge de certaines fonctionnalités, préférences de langue, etc. À eux seuls, les éléments discriminent rarement. Mis ensemble, ils le font beaucoup mieux.

Un service peut aussi normaliser les valeurs et calculer une empreinte, parfois via une fonction de hachage comme SHA-256. Le résultat ressemble à une chaîne opaque. Mais un hachage n'efface pas le caractère « identifiant » d'un signal : il transforme des bits, pas la nature du fait observé. Et même si deux environnements peuvent se ressembler, une mise à jour ou une modification (polices, paramètres, résolution, protections) peut suffire à faire bouger l'empreinte.

Enfin, les navigateurs limitent l'accès à certaines données et réduisent parfois la précision. Par exemple, navigator.platform est déconseillé pour de nouveaux usages et plusieurs informations liées au navigateur ont été rognées au fil du temps. Au final, ce qui est réellement disponible dépend du navigateur, de sa version et de ses réglages.

Le canvas : regarder le rendu, pas juste lire une valeur

Le Canvas Fingerprinting s'appuie sur le rendu graphique. Un script demande au navigateur de dessiner du texte ou des formes sur un élément canvas, puis récupère le résultat. Selon le système d'exploitation, les polices, le navigateur et la carte graphique, de petites différences peuvent apparaître dans les pixels produits.

function obtenirEmpreinteCanvas() {
const canvas = document.createElement("canvas");
canvas.width = 300;
canvas.height = 100;
const contexte = canvas.getContext("2d");
if (!contexte) return null;
contexte.font = "16px Arial";
contexte.fillStyle = "#069";
contexte.fillText("Test d'empreinte", 15, 30);
return canvas.toDataURL();
}
console.log(obtenirEmpreinteCanvas());

La méthode toDataURL() renvoie une représentation de l'image produite. Un service peut comparer cette sortie ou la résumer avec un hachage. L'intérêt, c'est qu'il n'y a pas besoin d'afficher quoi que ce soit à l'utilisateur : le script peut faire le calcul « dans le coin ».

Ce n'est pas non plus infaillible. Deux appareils différents peuvent produire un rendu identique, et inversement : après une mise à jour ou un changement de configuration, le même appareil peut donner un résultat différent. Les protections du navigateur jouent aussi. Le canvas apporte donc un signal de plus, pas une baguette magique.

Une empreinte peut évoluer

On a vite envie de croire qu'il existe une « signature » fixe, attachée à une machine. En réalité, l'empreinte change : mise à jour du navigateur, installation d'une police, modification de la résolution, activation d'une protection contre le suivi, etc.

Et parfois, à l'inverse, des environnements différents se ressemblent assez pour être confondus. C'est pour ça que le fingerprinting ressemble souvent à une estimation : plus les signaux concordent, plus le système estime qu'il s'agit du même environnement. Le résultat dépend de la méthode, des données collectées, et du contexte.

Un signal utile pour la sécurité et la prévention de la fraude

Dans un service bancaire, une plateforme de paiement ou un espace client, le fingerprinting peut aider à repérer une connexion inhabituelle. Si une action sensible est tentée depuis un environnement très différent de ce qui a déjà été observé, le service peut demander une vérification supplémentaire.

Il peut aussi contribuer à détecter automatiquement certains bots, des prises de contrôle de comptes, ou des comportements répétitifs associés à la fraude. Dans ces cas-là, l'empreinte devrait rester un indice parmi d'autres, pas le seul critère qui bloque quelqu'un.

Le compromis est concret : trop strict, le système risque de bloquer des personnes légitimes après un changement de navigateur ou l'achat d'un nouvel ordinateur ; trop permissif, il sert à peu. En production, il faut mesurer les faux positifs, prévoir un recours, et éviter qu'un signal technique opaque décide tout seul du sort d'un utilisateur.

Un risque de suivi entre les visites

Le même mécanisme permet aussi de reconnaître un navigateur d'une visite à l'autre, y compris si les cookies ont été supprimés. Et si plusieurs sites ou services partagent des données d'empreinte, il devient possible de rapprocher des sessions sans passer par un identifiant de cookie classique.

Encore une fois, ça ne veut pas dire qu'un fingerprint affiche « nom + adresse » sur un écran. Mais il peut aider à distinguer un utilisateur, relier des sessions, et compléter un profil avec d'autres informations. Le risque augmente lorsque les données sont conservées longtemps, rattachées à des comptes, ou partagées entre acteurs.

La navigation privée n'annule pas le mécanisme. Elle limite surtout ce qui est conservé localement après la session. Elle ne rend pas les caractéristiques du navigateur invisibles, et elle n'empêche pas un site de lire les signaux disponibles pendant la navigation.

Le cadre européen : finalité et transparence

En Europe, le RGPD impose d'évaluer données et usages au cas par cas. Une empreinte peut relever de données à caractère personnel si elle permet d'identifier ou de distinguer une personne, directement ou indirectement. Le fait que l'empreinte soit calculée à partir d'infos techniques ne suffit pas à sortir du cadre.

Les règles dépendent notamment de la finalité, des moyens employés, des données associées et des obligations liées aux traceurs. Donc : il ne faut pas conclure que toute collecte d'un signal technique est automatiquement interdite, ni que tout est permis parce qu'il n'y a pas de cookie. Les responsables de traitement doivent documenter le dispositif, limiter la collecte au nécessaire, et informer les personnes de façon compréhensible.

Pour en savoir plus, consultez les ressources de la CNIL sur les cookies et autres traceurs et sa présentation du RGPD et de la protection des données. Côté technique, la documentation de MDN sur le fingerprinting explique le principe général.

Utiliser les protections intégrées au navigateur

Commencez par regarder les paramètres de confidentialité de votre navigateur et activez les protections contre le suivi disponibles. Firefox, Safari, Brave et d'autres n'ont pas la même approche : blocage de certains traceurs, restrictions sur les scripts, réduction de caractéristiques exposées.

Ces protections ne sont pas équivalentes et peuvent changer selon les versions. Le bon réflexe : vérifier ce qui est réellement bloqué, plutôt que de se fier à un simple intitulé comme « anti-fingerprinting ». Un blocage trop agressif peut casser des fonctions utiles ; une protection plus discrète laissera parfois passer certains signaux.

Le navigateur Tor suit une logique différente : rendre les utilisateurs plus similaires entre eux sur plusieurs paramètres, pour réduire la singularité. Ça peut améliorer la résistance au fingerprinting, mais avec des compromis sur le confort et la compatibilité. C'est pertinent pour certains usages « confidentialité », pas forcément comme navigateur unique pour tout.

Garder une configuration cohérente

Les extensions peuvent aider, mais en empiler n'est pas forcément une bonne stratégie. Une configuration trop rare, ou des extensions qui modifient le comportement du navigateur, peuvent au contraire vous rendre plus identifiable. Et certaines extensions ajoutent aussi des risques de sécurité et des coûts de maintenance.

En pratique :

• installez uniquement les extensions dont vous avez besoin ;
• mettez à jour navigateur et extensions ;
• évitez de multiplier les réglages « expérimentaux » sans comprendre ce que ça change ;
• utilisez un profil séparé pour les usages professionnels et personnels si c'est nécessaire ;
• vérifiez les permissions demandées par vos extensions.

Un profil séparé réduit certains rapprochements locaux entre usages, mais il ne transforme pas chaque profil en « anonyme par magie ». Les signaux envoyés au site dépendent toujours des réglages du navigateur.

Désactiver JavaScript : efficace, mais coûteux

Désactiver JavaScript empêche de nombreuses techniques côté navigateur, y compris celles qui reposent sur des API ou sur le canvas. C'est une mesure forte, mais elle peut rendre inutilisables des services courants : formulaires, paiements, interfaces interactives, espaces clients... Bref, ça casse beaucoup de sites.

Une option plus souple consiste à autoriser JavaScript uniquement sur certains sites. Ça donne plus de contrôle, au prix d'une gestion plus contraignante et d'un risque d'erreur d'usage. Pour la plupart des gens, une configuration sobre et les protections natives du navigateur sont souvent un compromis plus pratique.

Et même avec JavaScript coupé, tout n'est pas « effacé » : les informations dans les requêtes HTTP, ou les caractéristiques de la connexion, restent présentes. Une adresse IP, des en-têtes, ou des données saisies dans un compte peuvent aussi participer à la reconnaissance. Donc, il ne faut pas vendre cette approche comme une protection totale.

Ce que les solutions ne font pas

La fenêtre privée ne supprime pas les caractéristiques techniques de l'appareil. Un VPN masque généralement votre adresse IP en la remplaçant par celle du serveur VPN, mais il ne rend pas automatiquement votre navigateur indifférenciable. Un bloqueur de publicité peut réduire certains scripts de suivi, sans neutraliser tous les signaux.

La démarche la plus efficace consiste à choisir une protection selon votre besoin, puis à vérifier ce que ça change réellement. Pour limiter le suivi publicitaire, les réglages de confidentialité et le blocage des traceurs peuvent suffire. Pour des activités sensibles, il faut raisonner plus large : appareil, comptes utilisés, réseau, habitudes de connexion et risques spécifiques au service.