Qu'est-ce que l'empreinte de navigateur, et que peut réellement lire un site web ?
Chaque fois que vous ouvrez une page, le navigateur remet au site une longue liste de faits sur lui-même. Aucun n'est secret, aucun ne demande d'autorisation, et la plupart sont là pour que la page s'affiche correctement. L'empreinte de navigateur, c'est ce qui se produit quand un site cesse d'utiliser ces faits pour afficher et commence à les utiliser pour vous reconnaître.
Ce qu'une page peut lire sans rien demander
Un script exécuté dans un onglet ordinaire peut lire, entre autres : la chaîne user agent, la liste des langues préférées, le fuseau horaire, la taille de l'écran et la densité de pixels, le nombre de threads du processeur, une valeur arrondie de la mémoire de l'appareil, la profondeur de couleur, la prise en charge du tactile, le nom du moteur de rendu graphique derrière WebGL, et le résultat du dessin d'une petite image sur un canvas ou du rendu d'un court tampon audio. Il peut aussi observer la durée de certaines opérations, quelles polices modifient la largeur d'une ligne de texte, et quels périphériques multimédias existent (leur nombre, pas leur nom, sauf si vous accordez l'accès).
Pris isolément, ces éléments sont banals. Un fuseau horaire vous réduit à quelques centaines de millions de personnes. Ensemble, ils vous réduisent bien davantage, car c'est la combinaison qui est rare. Une machine Windows avec une chaîne de moteur de rendu NVIDIA précise, 12 threads, un écran de 2560×1440, le français puis l'anglais dans cet ordre, et un hash de canvas particulier n'est pas une foule.
Ce qui rend un signal utile pour l'identification
Trois propriétés comptent. Le signal doit être stable : le même navigateur doit donner la même valeur demain. Il doit être diversifié : des navigateurs différents doivent donner des valeurs différentes. Et il doit être peu coûteux : lisible en quelques millisecondes sans demande d'autorisation. Le hash de canvas obtient un bon score sur les trois, c'est pourquoi on le retrouve dans toutes les bibliothèques d'empreinte. La taille d'écran obtient un bon score sur les deux premières et un score parfait sur la troisième. Le user agent obtenait un bon score en diversité et a été délibérément aplati par les éditeurs de navigateurs pour cette raison précise.
Ce qu'une page ne peut pas lire
Cette partie est souvent exagérée. Un script de page ne peut pas voir votre vraie adresse si vous êtes derrière un proxy : il voit ce que le proxy présente. Il ne peut pas lire les autres onglets, votre historique, vos favoris ni vos mots de passe enregistrés. Il ne peut pas savoir avec certitude si vous êtes en navigation privée ; les heuristiques qui prétendent le faire cessent régulièrement de fonctionner. Il ne peut pas connaître votre nom. Et il ne peut pas décider seul si une adresse est un proxy ou un centre de données : ce verdict vient d'une base de réputation que le site paie, pas de quoi que ce soit que votre navigateur ait dit.
Les sites qui affichent un « score de bot » ou « proxy : oui » combinent ce que votre navigateur a déclaré avec des données d'un tiers. C'est une chose légitime à faire, mais il est important de savoir quelle moitié est une mesure et quelle moitié est une consultation.
Pourquoi les pages de diagnostic existent
Une page de diagnostic comme PowerScan lit les mêmes signaux qu'un traqueur, et vous les montre au lieu de les stocker. L'objectif n'est pas de vous noter. C'est de vous laisser vérifier deux choses : si un signal que vous pensiez caché est visible, et si les signaux sont cohérents entre eux. L'incohérence est ce qui fait signaler des comptes : une adresse dans un pays, une horloge de navigateur dans un autre, un candidat WebRTC qui ne correspond pas à l'adresse d'où vous êtes arrivé.
Quand vous lisez un rapport, traitez chaque ligne comme la réponse à une seule question : « qu'a dit ce navigateur à cette page à l'instant ? » Rien de plus. Un hash n'est pas un verdict, et un nombre de signaux lus n'est pas une mesure de votre degré de crédibilité.
