📚 Études de cas sur l'empreinte de navigateur

En 2014, des chercheurs de l'Université de Princeton ont publié une étude pionnière intitulée « The Web Never Forgets » (ACM CCS 2014). Leurs travaux ont révélé que de nombreux sites web très fréquentés utilisaient des éléments HTML5 canvas pour générer des empreintes uniques pour chaque visiteur — une technique connue sous le nom d'empreinte canvas.

La technique fonctionne en demandant au navigateur de dessiner une image cachée à l'aide de l'API Canvas HTML5. Comme chaque appareil possède une unité de traitement graphique (GPU), un système d'exploitation et des polices de caractères légèrement différents, les données pixel obtenues varient d'une machine à l'autre. Dans l'étude de Princeton, plus de 5,5 % des 100 000 sites les plus visités utilisaient des scripts d'empreinte canvas.

Ce qui rendait cette découverte particulièrement alarmante était la discrétion de la technique : contrairement aux cookies, l'empreinte canvas se produit entièrement en mémoire sans stockage persistant. En réponse, Firefox a introduit privacy.resistFingerprinting et Brave a commencé à bloquer la lecture canvas par défaut.

Le navigateur Tor est reconnu comme la référence en matière de protection anti-empreinte. Sa philosophie de conception repose sur l'uniformité : plutôt que de tenter de randomiser l'empreinte de chaque utilisateur, le navigateur Tor s'assure que tous les utilisateurs présentent un fingerprint identique à tout site visité.

En pratique, Tor Browser impose une fenêtre de taille fixe (1000×1000 pixels), signale un ensemble standardisé de polices, désactive WebGL par défaut, substitue le fuseau horaire en UTC et restreint des dizaines d'API JavaScript révélatrices. Des recherches de l'EFF ont confirmé que les utilisateurs de Tor partagent un profil d'empreinte commun, rendant l'identification individuelle statistiquement peu pratique.

Les appareils mobiles présentent un défi particulier pour la défense contre les empreintes. Des recherches de 2023 ont révélé que plus de 95 % des navigateurs mobiles testés produisaient des empreintes entièrement uniques — un taux encore plus élevé que les 83-90 % observés sur les ordinateurs de bureau.

Sur les appareils mobiles, les scripts d'empreinte peuvent accéder à une plus grande variété de signaux identifiants : résolution d'écran, densité de pixels, capacités tactiles, orientation de l'appareil et spécifications du GPU. Les utilisateurs mobiles disposent également de moins d'outils pour se défendre, la plupart des navigateurs mobiles ne prenant pas en charge les extensions.

Le cadre juridique entourant l'empreinte de navigateur a considérablement évolué depuis l'entrée en vigueur du RGPD en mai 2018. Les autorités réglementaires ont de plus en plus classé l'empreinte comme une forme de traitement de données personnelles soumise aux exigences de conformité du RGPD.

En 2019, la CNIL française a explicitement déclaré que l'empreinte des appareils relevait de l'article 5(3) de la directive ePrivacy et nécessitait un consentement préalable, éclairé et librement donné — le même standard que pour les cookies.

L'empreinte audio est une technique de suivi moins connue mais très efficace qui exploite les différences dans la façon dont les navigateurs et appareils traitent les signaux audio. Cette technique utilise l'API Web Audio pour générer un identifiant unique pour chaque navigateur. Dans l'étude Princeton sur un million de sites, des scripts d'empreinte audio ont été trouvés sur plus de 700 des principaux sites.

L'empreinte WebGL exploite les différences dans la façon dont les unités de traitement graphique (GPU) restituent le contenu 3D. Une étude de 2017 a démontré que le fingerprinting basé sur WebGL pouvait atteindre un taux d'unicité supérieur à 99 % en combinant les informations de rendu avec l'analyse d'images rendues.

L'une des évolutions les plus préoccupantes de la recherche sur les empreintes est la capacité à suivre les utilisateurs sur différents navigateurs sur la même machine. Une étude de 2017 a démontré que les chercheurs pouvaient lier des empreintes sur différents navigateurs sur la même machine avec un taux de précision de 99,24 % en utilisant uniquement des signaux au niveau du système d'exploitation et du matériel.