Empreintes numériques : comment le navigateur remplace les cookies pour suivre les utilisateurs
Sommaire
En bref
- Les empreintes digitales du navigateur (combinaison d'infos matérielles et logicielles) permettent de pister les utilisateurs sans cookies, avec une stabilité suffisante pour l'ad-tech.
- Google a promu pendant des années des alternatives aux cookies (Privacy Sandbox) tout en adoptant le fingerprinting dans ses propres produits publicitaires.
- Le fingerprinting exploite des données techniques (GPU, CPU, fonts, résolution) que les sites peuvent mesurer sans permission, créant une identité quasi-unique même en incognito.
Ce que dit la source
L'auteur expose comment le fingerprinting fonctionne techniquement et comment il remplace progressivement les cookies comme mécanisme de suivi. Il montre que Google a fait semblant de combattre les cookies (ACT I : promesse en 2019-2020, ACT II : solutions Privacy Sandbox qui n'ont pas marché, ACT III : adoption finale du fingerprinting dans les produits ad). L'article souligne que l'empreinte digitale combine données réseau (IP, User-Agent) et environnement d'exécution (hardware), créant un identifiant qui persiste même en effaçant les cookies ou en utilisant un VPN. L'enjeu réel n'est pas la pertinence des publicités selon l'auteur, mais la construction d'un profil détaillé vendu au plus offrant (gouvernements inclus) sans consentement explicite.
- Les données réseau de base (IP, User-Agent, Accept-Language) sont fragiles seules, mais la mesure du matériel (GPU, CPU, nombre de threads, mémoire, résolution d'écran, traitement audio) produit des lectures stables sans demander de permission
- Un même appareil avec la dernière version de Chrome, langue française, et chip M4 constitue un ensemble si restreint qu'il devient quasi-unique après ajout des mesures matérielles
- L'auteur oppose ce mécanisme à une alternative hypothétique : une API de ciblage publicitaire sur opt-in (localisation, genre, groupe d'âge, intérêts), qui donnerait des résultats ad décents sans surveillance profonde
- Brave utilise le farbling (ajout de bruit aux données) pour rendre l'empreinte inconsistante, tandis que Tor et Mullvad Browser standardisent tout (« faire que tout se ressemble ») pour noyer les utilisateurs dans la foule
Dans les commentaires
Débat partagé. Une partie du fil conteste le caractère pratique du fingerprinting à long terme (stabilité insuffisante, dépendance réelle à l'IP ou à des identifiants stables comme l'email), tandis qu'une autre reconnaît la menace tout en pointant l'absence de défenses navigateur adéquates.
- Plusieurs commentateurs soulignent que le fingerprinting théorique diffère du fingerprinting commercial : les données de config (fonts, versions logicielles) dégradent rapidement, et l'ad-tech s'appuie surtout sur l'IP ou des identifiants stables (email, phone, user ID) pour un vrai tracking multi-sessions.
- Un commentaire note que les navigateurs anti-fingerprinting (GrapheneOS Vanadium, Brave) risquent de se distinguer par leur généricité même, rendant leurs utilisateurs plus faciles à identifier que la masse ; la vraie sécurité supposerait une homogénéité absolue du pool d'utilisateurs.
- La critique du droit EU sur les cookies est affinée : le vrai enjeu légal n'est pas les cookies en soi, mais le tracking et le profiling, qui s'appliquent aussi au fingerprinting ; les bandeaux de consentement restent donc nécessaires.
- Une friction mineure porte sur l'usage légitime du fingerprinting en cybersécurité (détection de YubiKey malveillants) : le fil reconnaît l'utilité tout en signalant l'absence de standard pour distinguer détection de fraude et suivi commercial.
Notre lecture
L'article soulève une préoccupation réelle : le fingerprinting est une porte de sortie techniquement viable pour l'industrie publicitaire face à l'obsolescence programmée des cookies, et Google orchestre sa propre transition. Toutefois, le débat HN tempère le catastrophisme : l'efficacité pratique du fingerprinting seul est limitée (dégradation rapide, dépendance à d'autres signaux stables), et les vraies défenses (Tor, Mullvad, farbling) existent mais fragmentent le web en cercles d'utilisateurs. La menace n'est pas « le fingerprinting vous identifiera toujours » mais plutôt « le fingerprinting + l'IP + vos données persistantes (email, phone, user ID) = un suivi de facto inévitable ». Pour une DSI, l'intérêt est limité immédiatement. Pour une équipe produit grand public, c'est un rappel que la transparence du suivi restera un enjeu, qu'on bannisse les cookies ou pas.