Cookies, stockage et pistage après les cookies tiers
Les cookies ont été la façon d'origine de reconnaître un navigateur qui revient, et pendant vingt ans, ils ont suffi. Les changements que les navigateurs y ont apportés expliquent pourquoi l'empreinte est redevenue intéressante.
Propriétaire et tiers
Un cookie propriétaire est posé par le site affiché dans la barre d'adresse. C'est ce qui vous garde connecté. Un cookie tiers est posé par un autre domaine dont la page a intégré du contenu, comme un script publicitaire, et il est lisible par ce domaine sur chaque site qui l'intègre. Cette seconde propriété est ce qui a rendu le pistage intersites trivial : un annonceur, un cookie, tous les sites.
Ce qui a changé
Safari a commencé à bloquer les cookies tiers par défaut en 2017 grâce à Intelligent Tracking Prevention, et a durci la mesure à plusieurs reprises. Firefox a suivi avec Enhanced Tracking Protection en 2019, puis Total Cookie Protection, qui donne à chaque site son propre bocal à cookies, de sorte que le cookie d'un tiers sur un site est invisible sur un autre. Chromium a introduit les cookies partitionnés (l'attribut Partitioned, « CHIPS ») pour que le contenu intégré puisse conserver un état par site de premier niveau, et a passé plusieurs années à annoncer, retarder puis finalement renoncer à une suppression générale des cookies tiers, pour s'en remettre au choix de l'utilisateur.
Le résultat pratique est que le pistage intersites par cookie est peu fiable dans Safari et Firefox, et de plus en plus partitionné dans Chromium. C'est bon pour la vie privée, et cela a poussé les traqueurs vers des signaux qui n'ont aucun besoin de stockage.
Les autres stockages
localStorage, IndexedDB et l'API Cache sont propriétaires par nature ; ils appartiennent à l'origine qui les a écrits et sont désormais partitionnés par site de premier niveau dans tous les grands navigateurs, de sorte qu'ils ne peuvent pas servir d'identifiants intersites comme le faisaient les anciens cookies tiers. Les astuces de pistage par ETag et par cache existent mais sont fragiles et largement atténuées.
Pourquoi l'empreinte comble le vide
Une empreinte n'a besoin d'aucun stockage. Elle est recalculée à partir des propriétés du navigateur à chaque visite : effacer les cookies ne la réinitialise donc pas, et le partitionnement ne l'isole pas. C'est son attrait pour les traqueurs et son danger pour quiconque supposait qu'« effacer les données du site » repartait d'une page blanche. Les contre-mesures sont différentes elles aussi : il ne s'agit pas de bloquer le stockage, mais de réduire la diversité de ce qu'une page peut lire, ce à quoi servent la réduction du user agent, le bruit sur le canvas et le masquage du moteur de rendu.
Ce qu'un diagnostic peut montrer
Une page peut indiquer si les cookies sont activés et si l'en-tête Do Not Track est défini (un signal que presque aucun site ne respecte, ce qui explique pourquoi les navigateurs le retirent au profit de Global Privacy Control). Elle ne peut pas lire les cookies d'un autre site, et un diagnostic digne de confiance n'en pose aucun lui-même. PowerScan s'exécute sans cookies, sans stockage et sans identifiants, ce que vous pouvez vérifier dans les outils de développement du navigateur : le panneau de stockage du site est vide après une analyse.
Ce que signifie l'isolation aujourd'hui
Pour qui garde des comptes séparés, les cookies sont la partie facile : des profils séparés ont des bocaux à cookies séparés. La partie difficile est l'empreinte, parce que deux profils sur la même machine avec le même navigateur partagent tous les signaux matériels et de rendu, à moins que le navigateur ne les modifie. C'est l'objet de l'article suivant.
PowerOps
