Un internaute a découvert que la page d’accueil d’AliExpress générerait en continu un son inaudible, utilisé pour construire une empreinte numérique de chaque visiteur sans recourir aux cookies. La technique repose sur l’API WebAudio, présente dans tous les navigateurs modernes. Ni AliExpress ni sa maison mère Alibaba, membre du Forum économique mondial n’ont réagi publiquement à ces observations.
L’affaire n’a pas été révélée par un chercheur en sécurité, mais par un utilisateur agacé.
Le 20 août 2026, sur son blog personnel, un internaute signant mc-tech raconte un problème avec son casque Bluetooth multipoint, connecté à la fois à son ordinateur et à son téléphone. Dès qu’il ouvre AliExpress dans son navigateur, la musique diffusée depuis son mobile se coupe. Aucune vidéo ne tourne sur la page. Aucun son n’est audible. Mettre l’onglet en sourdine ne change rien. Seule sa fermeture rétablit la situation.
En inspectant son navigateur, il repère deux scripts d’Alibaba qui créeraient chacun un contexte audio actif dès que la page reste inactive quelques secondes. Le casque, lui, faisait simplement son travail : il basculait sur la source qui émettait un son. Un son que personne n’entend.
Comment une note à volume zéro identifie une machine
Le mécanisme décrit par mc-tech et relayé par Numerama repose sur l’API WebAudio, une brique standard intégrée à tous les navigateurs modernes pour produire et manipuler du son en JavaScript.
Les scripts génèrent une note artificielle très simple, un signal en dents de scie, à l’aide d’un composant appelé oscillateur. Ce son traverse la chaîne de traitement audio du navigateur, puis est capté et mesuré à la sortie. Son volume est réglé sur zéro : il n’est jamais audible.
Ce qui intéresse le site n’est pas le son, mais la façon dont la machine l’a transformé. Selon le site spécialisé Fingerprint.com, le résultat varie en fonction du modèle de processeur, du système d’exploitation, de la version du navigateur et des pilotes audio installés, en raison de minuscules écarts dans les calculs en virgule flottante. Deux ordinateurs ne renvoient quasiment jamais la même valeur.
Combinée à d’autres informations classiques – résolution d’écran, cartes graphiques disponibles, polices installées – cette mesure permettrait de construire un identifiant très stable. Un identifiant que l’internaute ne peut pas effacer, puisqu’il ne dépend d’aucun cookie ni d’aucun fichier stocké sur l’appareil.
Les navigateurs ripostent, la plateforme se tait
L’affaire, largement commentée sur Hacker News, a attiré l’attention des éditeurs de navigateurs.
Brave a rappelé le 22 août qu’il applique par défaut un brouillage des valeurs renvoyées par l’API WebAudio : chaque site reçoit des résultats légèrement faussés, différents d’une session à l’autre, ce qui empêche de construire une empreinte fiable. Du côté de Mozilla, autre géant du WEF, un développeur a publié ses propres analyses et estime que cette technique serait déjà largement neutralisée sur Firefox.
Ni AliExpress ni Alibaba n’ont commenté publiquement. Les scripts en cause, collina.js et fireyejs.js, semblent s’inscrire dans un dispositif plus large présenté comme un système antifraude. La parade la plus simple, partagée par les utilisateurs concernés, consiste à les bloquer via une extension comme uBlock Origin.
Le pistage a survécu à la fin des cookies
Le règlement général sur la protection des données et les bandeaux de consentement ont installé une idée confortable : refuser les cookies suffirait à ne pas être suivi. Cette affaire rappelle que le cookie n’était qu’un support parmi d’autres.
L’empreinte numérique ou fingerprinting fonctionne autrement. Elle n’inscrit rien sur la machine du visiteur, elle mesure ce que cette machine renvoie. Aucun bandeau ne la déclare, aucun bouton ne la refuse, aucun nettoyage de l’historique ne l’efface. Le droit européen la considère pourtant comme un traitement de données personnelles soumis au consentement.
Reste à savoir qui contrôle, et avec quels moyens. Une plateforme de commerce en ligne accessible depuis n’importe quel navigateur européen relève des obligations du règlement sur les services numériques. La démonstration technique, elle, aura été faite par un utilisateur agacé par son casque.
Il aura suffi d’un casque Bluetooth mal luné pour révéler un dispositif conçu pour rester invisible. La prochaine faille de discrétion viendra peut-être d’un objet tout aussi banal. C’est la meilleure nouvelle de cette affaire.