Sans cookies : comment un navigateur reste traçable ?

Un navigateur peut être distingué par une combinaison de caractéristiques techniques, même sans cookie. Le suivi côté serveur peut aussi relier des événements reçus par le service puis transmis à ses partenaires.

Ce que ça veut dire

Une empreinte du navigateur combine des caractéristiques observables : langue, dimensions d’affichage, environnement logiciel ou capacités graphiques. Leur association peut aider à distinguer une configuration parmi d’autres. La définition du fingerprinting par la CNIL insiste sur son caractère probabiliste. Il ne s’agit pas d’une plaque d’immatriculation parfaite : une configuration change, et des personnes peuvent présenter des caractéristiques proches.

Un traceur désigne plus largement un moyen de suivre des usages. Le cookie en est une forme, mais son absence ne dit rien, à elle seule, sur les autres méthodes. Des protections cherchent à bloquer des scripts connus, c’est-à-dire des programmes chargés dans une page, ou à réduire les différences visibles entre navigateurs. Leur efficacité dépend de leur conception et des méthodes employées en face.

Le suivi côté serveur déplace une partie du traitement vers les systèmes du service. Celui-ci reçoit un événement, comme une commande, puis peut en transmettre une partie à un partenaire. Certaines transmissions ne passent donc pas directement du navigateur vers ce partenaire. Cela ne signifie ni que toutes les protections sont contournées, ni que les obligations de protection des données disparaissent.

Un exemple concret

Prenons un site fictif de réservation de spectacles. Vous refusez les cookies facultatifs, puis achetez une place en étant connecté. Le service reçoit nécessairement des informations pour traiter l’achat. Votre compte utilisateur permet déjà de rattacher la commande à votre dossier. Aucun cookie publicitaire externe n’est nécessaire pour que le vendeur sache ce que vous avez commandé.

Supposons maintenant que le vendeur envoie un événement d’achat à un prestataire de mesure. Le navigateur peut avoir bloqué le programme du prestataire tout en ayant transmis la commande au vendeur. Le traitement ultérieur doit alors être examiné dans la documentation du service. Le refus d’un traceur et la question des transmissions entre entreprises concernent des opérations liées, mais pas identiques.

Dans un autre scénario, un site reconnaît approximativement une configuration technique sans connexion à un compte. Il peut se tromper. Une publicité qui réapparaît ne vous permet pas de trancher entre empreinte, compte connecté, contexte de page ou autre mécanisme. Pour comprendre, gardez les hypothèses ouvertes et cherchez les informations annoncées par le service.

Comment évaluer une protection sans fausse certitude ?

Lisez ce que le navigateur dit bloquer : cookies intersites, catégories de scripts ou techniques connues de prise d’empreinte. La documentation de Firefox sur la protection contre le pistage distingue plusieurs mécanismes. Un tableau de blocages décrit une action du navigateur. Il ne constitue pas l’inventaire de toutes les données reçues ou échangées par les entreprises.

Un test d’empreinte en ligne décrit généralement ce que son propre dispositif observe et compare. Son résultat dépend de son échantillon et de ses critères. Une configuration présentée comme rare dans ce test n’est pas une mesure universelle de votre traçabilité. Ne modifiez pas tous vos réglages à partir d’un seul résultat spectaculaire, surtout si ces modifications compliquent ensuite vos usages.

Quel geste reste utile ?

Choisissez une protection intégrée et comprenez son périmètre avant de la renforcer. La fiche limiter les cookies tiers dans Firefox fournit un geste concret. Si une fonction indispensable cesse de marcher, examinez l’exception envisagée : à quel site s’applique-t-elle, pour quel besoin et pendant quelle période ? Une exception locale est plus facile à examiner qu’un abandon général de la protection.

Une extension de navigateur peut elle-même lire des pages selon ses permissions. Évitez d’accumuler des outils promettant tous l’anonymat. La fiche retirer une extension suspecte de Chrome aide à réduire un accès inutile. Conservez enfin une distinction simple dans vos notes : ce que vous empêchez d’être envoyé, ce que le site reçoit pour fonctionner et ce qu’il déclare transmettre ensuite.

Pour aller plus loin

La prochaine leçon porte sur les clés d’accès et leur résistance aux faux sites. Vous passerez de la reconnaissance publicitaire d’un navigateur à la preuve d’accès à un compte.