Un outil gratuit baptisé Glassbox mesure en direct l’empreinte numérique laissée par un navigateur web et affiche un taux d’identifiabilité. Le testeur du média britannique The Register a obtenu 99 % sur sa session Chrome de travail, 89 % sur Firefox et 56 % sur Tor : sa configuration serait unique parmi 7,6 milliards de navigateurs. Les chercheurs de l’Inria, qui collectent des empreintes depuis 2014 via le site AmIUnique.org, estiment que le croisement des cookies, des adresses IP et des empreintes permet d’identifier 98 % des internautes, rapporte Clubic.
Résolution d’écran. Polices installées. Fuseau horaire. Version du système d’exploitation. Modèle de carte graphique. Capacités audio. Liste des extensions activées. Pris un par un, ces éléments ne désignent personne. C’est leur assemblage qui fait signature.
Le procédé porte un nom : le fingerprinting, ou prise d’empreinte du navigateur. Il ne dépose aucun fichier sur la machine, ne réclame aucune connexion à un compte et ne passe pas par la fenêtre de consentement que les internautes ont appris à refuser d’un clic. Le site interrogé collecte simplement les réponses que le navigateur fournit spontanément à ses requêtes techniques, et en tire une combinaison suffisamment rare pour reconnaître la même machine d’un site à l’autre.
Refuser les cookies ne bloque donc rien de ce mécanisme. Le geste porte sur un dispositif de traçage qui n’est plus le seul en service. La découverte de scripts ultrasoniques sur la plateforme AliExpress, filiale du groupe Alibaba membre du Forum économique mondial, avait déjà montré qu’un appareil pouvait être identifié sans le moindre fichier déposé.
Glassbox : société israëlienne spécialisée dans le numérique
Glassbox est une société israélienne de logiciels d’analyse de l’expérience numérique. Elle enregistre et analyse les interactions des utilisateurs sur les sites web et applications afin d’aider les entreprises à comprendre les parcours clients, détecter des anomalies et optimiser leurs interfaces. Elle a été fondée en 2010 par Yoav Schreiber, Yaron Gueta et Hanan Blumstein.
Depuis octobre 2024, Glassbox n’est plus cotée : elle a été retirée de la Bourse de Tel-Aviv après une opération de rachat valorisée environ 150 millions de dollars. La communication officielle de Glassbox indique qu’Alicorn Venture Partners a acquis l’ensemble des actions alors en circulation, tandis qu’Alicorn précise avoir réalisé l’opération avec Susquehanna Growth Equity (SGE) et Discount Capital comme partenaires financiers.
Le capital a ensuite évolué. En août 2025, Poalim Equity, la branche d’investissement de Bank Hapoalim, est entrée au capital comme investisseur minoritaire. Glassbox cite alors parmi ses investisseurs existants Alicorn, Discount Capital et Susquehanna Growth Equity. Susquehanna Growth Equity (SGE) n’est pas un fonds indépendant classique. Son capital provient de Susquehanna International Group (SIG), société financière privée fondée en 1987 et qui reste détenue et opérée par ses fondateurs.
99 % sur Chrome, 56 % sur Tor
Glassbox exécute la panoplie complète des techniques de prise d’empreinte utilisées sur le web contemporain, puis affiche les données brutes sans filtre, accompagnées d’une estimation du caractère unique de la configuration. L’outil tourne entièrement dans le navigateur : il n’envoie rien à l’extérieur, à l’exception d’un appel à une interface publique de géolocalisation.
Les résultats obtenus par le testeur de The Register donnent la mesure de l’écart entre les navigateurs. Sa session Chrome de travail atteint 99 % d’identifiabilité. Firefox descend à 89 %. Le navigateur Tor, avec un circuit actif, tombe à 56 %. Dans le premier cas, la configuration serait unique parmi 7,6 milliards de navigateurs, son adresse IPv6 affinant encore l’identification.
Le développeur de l’outil, David Dale, a tenu à borner la portée de ces chiffres sur le forum Hacker News. Le pourcentage affiché relève selon lui d’« un modèle honnête, pas une mesure de laboratoire ». Autrement dit : un ordre de grandeur, pas un relevé métrologique.
Le déguisement qui attire l’œil
Le réflexe défensif consiste à empiler les protections. C’est précisément là que le raisonnement se retourne contre son auteur. Un navigateur chargé d’extensions rares, de valeurs falsifiées et de réglages inhabituels finit par présenter un profil que personne d’autre ne partage. Il devient donc plus repérable qu’une installation standard, jamais modifiée.
Les systèmes de traçage recoupent en outre les signaux entre eux. Lorsque la chaîne d’identification déclare un système Windows tandis que le rendu graphique révèle une puce Apple, l’incohérence elle-même devient un marqueur distinctif. Le camouflage se transforme en indice.
La stratégie inverse consiste à viser la banalité. Le navigateur Tor et Firefox en mode résistance à la prise d’empreinte alignent tous leurs utilisateurs sur les mêmes valeurs déclarées, de façon à noyer chaque machine dans un ensemble indistinct. Brave procède autrement, en faisant varier l’empreinte à chaque session pour empêcher le recoupement dans la durée. Deux méthodes, un même objectif : cesser d’être remarquable.
L’Inria compte des empreintes depuis 2014
Le sujet n’est pas neuf pour la recherche publique française. Le site AmIUnique.org, hébergé par l’Institut national de recherche en sciences et technologies du numérique, collecte des empreintes de navigateurs depuis 2014. Plus de deux millions ont été rassemblées, selon Clubic. Ce travail a directement inspiré certaines des protections intégrées au navigateur Brave.
Le chiffre que les chercheurs de l’institut tirent de ce corpus est le plus parlant du dossier : la combinaison des cookies, des adresses IP et des empreintes de navigateur permet d’identifier 98 % des internautes. Le cookie, cible de la réglementation et des refus d’un clic, n’est donc qu’un élément parmi trois.
La différence pratique avec le cookie tient à ce qu’il n’y a rien à effacer. Aucun fichier n’étant déposé sur la machine, le vidage du cache et la suppression de l’historique laissent l’empreinte intacte : elle est recalculée à chaque visite à partir des caractéristiques du navigateur lui-même. Le contrôle laissé à l’utilisateur ne porte donc plus sur des données stockées, mais sur la configuration de son propre équipement.
Du côté du régulateur, la position française est établie. La Commission nationale de l’informatique et des libertés considère le fingerprinting comme un traceur soumis au consentement préalable de l’utilisateur, au titre de l’article 82 de la loi Informatique et Libertés, exactement comme un cookie publicitaire. La règle est écrite. Son application sur le terrain est une autre affaire.
Février 2025, la porte se rouvre
La pratique s’est banalisée. Google, entreprise membre du Forum économique mondial, autorise ses annonceurs à recourir à la prise d’empreinte depuis février 2025, après l’avoir interdite pendant six ans. Le principal opérateur publicitaire du web a donc levé lui-même une restriction qu’il avait posée.
Reste, pour l’internaute, un exercice de quelques secondes : lancer le test et regarder le pourcentage. Le score ne protège de rien. Il indique seulement à quoi ressemble la silhouette numérique que chaque session laisse derrière elle, site après site.
Sept virgule six milliards de navigateurs, et un seul comme le vôtre.
Source : Clubic – clubic.com