Qu’est-ce que l’empreinte numérique d’un navigateur — et pourquoi la cohérence l’emporte sur l’aléatoire

Il suffisait autrefois d’effacer ses cookies pour repartir de zéro sur un site web. Ce n’est plus le cas. Les sites modernes savent reconnaître un navigateur à son apparence et à son comportement — son empreinte —, même en navigation privée, et souvent même après un changement d’adresse IP.

Ce guide explique ce qu’est l’empreinte d’un navigateur, à partir de quels signaux elle se construit, à quel point elle est réellement unique d’après la recherche, et pourquoi sa qualité la plus importante n’est pas d’être unique, mais d’être cohérente.

En bref

• L’empreinte d’un navigateur est l’ensemble des détails qu’un site web peut lire sur votre navigateur et votre appareil, comme l’écran, la carte graphique, les polices, la langue ou le fuseau horaire.
• Elle ne demande aucune autorisation et ne stocke rien sur votre appareil : supprimer vos cookies ou ouvrir une fenêtre privée n’y change donc rien.
• De grandes études ont montré qu’entre un tiers et près de 90 % des navigateurs ont une empreinte qu’aucun autre navigateur de l’échantillon ne partage.
• Rendre les valeurs aléatoires pour se cacher est risqué : des valeurs aléatoires se contredisent, et les contradictions sont faciles à détecter.
• Une bonne empreinte est cohérente, stable et courante : elle ressemble à des millions d’appareils ordinaires.

Qu’est-ce que le fingerprinting de navigateur ?

Le fingerprinting de navigateur (ou prise d’empreinte) consiste à reconnaître un navigateur en recueillant une multitude de petits détails à son sujet, puis en les combinant en un seul identifiant. Certains arrivent avec chaque requête, dans les en-têtes HTTP. Bien d’autres peuvent être lus avec quelques lignes de JavaScript. Pris isolément, chaque détail est partagé par des millions de personnes. Combinés, ils décrivent souvent un seul et unique navigateur.

Signal	Ce qu’il révèle	Exemple
User agent et client hints	Navigateur, version et système d’exploitation	Chrome 141 sous Windows 11
Écran	Résolution, ratio de pixels et profondeur de couleur	2560 × 1440 à 2×
Matériel	Cœurs de processeur et mémoire approximative	10 cœurs, 8 Go
Graphismes (WebGL)	Modèle de GPU et pilote	Apple M2 Pro
Canvas et audio	D’infimes différences de rendu dues au matériel, aux pilotes et aux polices	Un hash stable comme 9f3a…e21c
Polices	Les polices installées	214 détectées
Langue et fuseau horaire	Langues préférées et réglages de l’horloge	en-US, America/Vancouver
Réseau	Votre adresse IP, plus toute adresse supplémentaire exposée par WebRTC	198.51.100.24

Aucun de ces signaux ne déclenche de demande d’autorisation, et aucun n’est stocké sur votre ordinateur. C’est pourquoi le fingerprinting résiste à la suppression des cookies comme à la navigation privée : il n’y a rien à effacer.

Comment fonctionne le fingerprinting, étape par étape

1. Collecter. Un script lit des dizaines de valeurs en quelques millisecondes, généralement pendant le chargement de la page.
2. Combiner. Les valeurs sont hachées en un identifiant court, par exemple F2F8-E777-B20B.
3. Rapprocher. L’identifiant est comparé à ceux déjà rencontrés. En pratique, les systèmes n’exigent pas une correspondance exacte : avec FP-Stalker, des chercheurs ont montré que des empreintes peuvent être reliées entre elles même lorsqu’elles évoluent au fil des mises à jour du navigateur, et, dans leur jeu de données, les navigateurs pouvaient être suivis pendant 54 jours en moyenne.

À quel point votre empreinte de navigateur est-elle unique ?

L’unicité se mesure en bits d’information identifiante. Chaque bit divise par deux le nombre de navigateurs qui pourraient être le vôtre : un bit coupe la foule en deux, dix bits la réduisent à environ 1 sur 1 000, vingt bits à environ 1 sur un million. Quelque 33 bits suffisent à distinguer chaque habitant de la Terre, car 2³³ représente à peu près 8,6 milliards.

Trois grandes études ont mesuré la part d’empreintes réelles qui sont uniques :

Étude	Empreintes	Uniques
Panopticlick, EFF (2010)	470 161	83,6 % (94,2 % avec Flash ou Java activé)
AmIUnique (2016)	118 934	89,4 % (81 % des empreintes mobiles)
Hiding in the Crowd (2018)	2 067 942	33,6 % (18,5 % des empreintes mobiles)

L’écart entre ces études a son importance. Les deux premières ont recueilli leurs données sur des sites que les gens visitaient pour tester leur confidentialité, ce qui attire des configurations inhabituelles. L’étude de 2018 s’appuyait sur les visiteurs de l’un des sites web les plus fréquentés de France, un public plus ordinaire, et les navigateurs avaient entre-temps abandonné des plugins comme Flash, qui laissaient fuiter beaucoup d’informations. Les téléphones étaient les plus difficiles à distinguer, car des millions d’iPhone du même modèle ont presque tout en commun.

Deux réserves empêchent toutefois ce chiffre plus bas d’être rassurant. Une empreinte qui n’est pas unique vous situe tout de même dans un petit groupe, et, combinée à votre adresse IP, elle suffit souvent. Par ailleurs, la même étude a montré que les empreintes non uniques sont fragiles : il suffit de modifier quelques attributs pour que beaucoup d’entre elles deviennent uniques.

En 30 secondes, notre test de personnalité du navigateur estime à quel point votre propre combinaison de 18 signaux est rare : vous savez ainsi où vous vous situez.

Qui utilise le fingerprinting ?

• Prévention de la fraude et sécurité des comptes. Banques, prestataires de paiement et places de marché utilisent les empreintes pour repérer une connexion depuis un appareil qu’ils n’ont jamais vu, ou l’ouverture de comptes à répétition depuis un même appareil.
• Détection des bots. Les services anti-bots vérifient si les caractéristiques d’un navigateur correspondent à celles d’un véritable appareil, plutôt qu’à un appareil automatisé qui se fait passer pour un humain.
• Publicité et pistage. Le fingerprinting permet aux régies publicitaires de suivre un navigateur de site en site sans cookies. En février 2025, Google a cessé d’interdire le fingerprinting aux annonceurs qui utilisent ses produits publicitaires ; le régulateur britannique de la protection des données, l’ICO, a qualifié ce changement d’« irresponsable ».
• Liaison de comptes. Les plateformes relient entre eux les comptes qui apparaissent sans cesse avec la même empreinte. C’est ce qui touche les équipes qui gèrent légitimement de nombreux comptes, comme une agence chargée des publicités de vingt clients ou un vendeur qui exploite des boutiques distinctes dans différentes régions : pour la plateforme, tous ces comptes semblent provenir d’un seul et même appareil.

Dans l’Union européenne et au Royaume-Uni, le fingerprinting à des fins de pistage relève de la même règle ePrivacy que les cookies. Depuis 2014, les régulateurs européens affirment qu’il est couvert par l’article 5(3) de la directive ePrivacy, qui exige en général un consentement, sauf si l’accès est strictement nécessaire à un service demandé par l’utilisateur.

La fausse bonne idée : tout rendre aléatoire

La réponse évidente consiste à rendre chaque valeur aléatoire. C’est exactement ce que font de nombreuses extensions de confidentialité basiques : un user agent aléatoire ici, un peu de bruit sur le canvas là.

Le problème, c’est que l’aléatoire crée des contradictions, et que les contradictions sont bien plus faciles à détecter que n’importe quelle valeur isolée :

• Un user agent Windows, mais une carte graphique qui n’existe que sur Mac.
• Une horloge réglée sur l’heure de São Paulo, mais une adresse IP à Francfort.
• navigator.platform indique un système d’exploitation, tandis que les client hints en indiquent un autre.
• Le navigateur annonce une version dans son user agent et une autre dans ses client hints.
• Le rendu canvas change à chaque chargement de page, ce qu’aucun appareil réel ne fait.

Ce n’est pas que de la théorie. En 2018, des chercheurs ont conçu FP-Scanner, une batterie de tests qui traque précisément ce genre de contradictions. Elle a repéré les outils de modification d’empreinte testés grâce aux incohérences qu’ils introduisaient, et, dans certains cas, a même retrouvé le véritable navigateur et le véritable système d’exploitation qu’ils cherchaient à cacher.

Les vrais appareils sont banals. Leurs valeurs s’accordent entre elles et restent les mêmes d’une visite à l’autre. Une empreinte unique mais impossible se remarque bien davantage qu’une empreinte qui ressemble à des millions d’ordinateurs ordinaires.

L’aléatoire peut fonctionner s’il est appliqué avec soin. Le « farbling » de Brave introduit de petites variations aléatoires à partir d’une graine propre à chaque site et à chaque session : un site voit donc les mêmes valeurs pendant toute la session, et des sites différents ne peuvent pas les relier entre eux. C’est très différent d’un bruit renouvelé à chaque chargement de page.

Comment les navigateurs vous protègent aujourd’hui

• Tor Browser prend le contre-pied de l’aléatoire : il fait en sorte que tous ses utilisateurs se ressemblent le plus possible, jusqu’à des tailles de fenêtre standardisées, pour que personne ne se démarque.
• Brave rend aléatoires certaines valeurs, par site et par session, comme décrit plus haut. Vous pouvez l’essayer sans rien installer dans un navigateur cloud temporaire sur WebTraceCheck, notre autre site.
• Firefox 145 (novembre 2025) a étendu ses protections contre le fingerprinting ; selon Mozilla, elles réduisent de près de moitié la part d’utilisateurs identifiés comme uniques. Elles ont d’abord été déployées dans les fenêtres privées et avec la protection renforcée contre le pistage en mode Strict.
• Safari 26 (septembre 2025) empêche les scripts de fingerprinting connus de lire de manière fiable les API qui révèlent les caractéristiques de l’appareil, comme la taille de l’écran, le nombre de cœurs du processeur ou le canvas 2D.

Quel que soit votre navigateur, quelques habitudes aident. Maintenez-le à jour et proche de ses réglages par défaut. Méfiez-vous des polices exotiques et des longues listes d’extensions, qui vous rendent plus rare. Évitez les extensions de type « user agent aléatoire », pour les raisons évoquées plus haut.

À quoi ressemble une bonne empreinte

Une identité de navigateur crédible présente trois qualités :

1. Cohérente : chaque signal concorde avec tous les autres — système d’exploitation, user agent, client hints, GPU, polices, écran, langue, fuseau horaire et localisation de l’IP.
2. Stable : les mêmes valeurs reviennent à chaque utilisation du profil, exactement comme sur un appareil réel.
3. Courante : les valeurs sont tirées de matériel réel, pour que le profil se fonde dans la masse au lieu de se faire remarquer.

C’est aussi ce que les navigateurs antidétection promettent aux équipes qui gèrent de nombreux comptes : un profil distinct et cohérent pour chacun. Si vous les comparez, notre annuaire des navigateurs antidétection résume ce que les utilisateurs rapportent sur chacun d’eux, avec un lien vers chaque source.

Testez votre propre navigateur

Envie de savoir ce que les sites web voient de vous en ce moment ? Notre test d’empreinte de navigateur gratuit lit les mêmes signaux que les systèmes de détection et montre lesquels se contredisent, y compris les fuites WebRTC et les incohérences de fuseau horaire. Il s’exécute entièrement dans votre navigateur, et nous ne conservons pas les résultats.

Pour une version plus rapide et plus ludique, faites le test de personnalité du navigateur en 30 secondes : il vous indique lequel des huit types de navigateur vous correspond et combien de navigateurs, approximativement, partagent votre configuration.

Questions fréquentes

La navigation privée empêche-t-elle le fingerprinting ?

Non. Une fenêtre privée ne conserve ni cookies ni historique, mais votre écran, votre carte graphique, vos polices, votre langue et votre fuseau horaire restent exactement les mêmes : votre empreinte ne change donc presque pas.

Un VPN empêche-t-il le fingerprinting ?

Un VPN change votre adresse IP, et rien d’autre. Le reste de votre empreinte ne bouge pas, et un fuseau horaire qui ne correspond pas à la localisation de votre VPN peut lui-même attirer l’attention.

Le fingerprinting de navigateur est-il légal ?

Tout dépend de la finalité et du lieu. La prévention de la fraude et la sécurité sont des usages largement acceptés. Dans l’Union européenne et au Royaume-Uni, le fingerprinting à des fins publicitaires ou de pistage est traité comme les cookies et nécessite généralement votre consentement.

Puis-je changer l’empreinte de mon navigateur ?

Vous pouvez en modifier une partie, en changeant de navigateur, d’appareil ou de réglages. Mais la modifier au hasard tend à se retourner contre vous. L’objectif n’est pas d’avoir une empreinte différente à chaque visite, mais une empreinte qui ressemble à celle d’un appareil normal.

Sources

• Peter Eckersley, How Unique Is Your Web Browser?, Privacy Enhancing Technologies Symposium, 2010.
• Pierre Laperdrix, Walter Rudametkin et Benoit Baudry, Beauty and the Beast: Diverting modern web browsers to build unique browser fingerprints, IEEE Symposium on Security and Privacy, 2016.
• Alejandro Gómez-Boix, Pierre Laperdrix et Benoit Baudry, Hiding in the Crowd: an Analysis of the Effectiveness of Browser Fingerprinting at Large Scale, The Web Conference, 2018.
• Antoine Vastel, Pierre Laperdrix, Walter Rudametkin et Romain Rouvoy, FP-Scanner: The Privacy Implications of Browser Fingerprint Inconsistencies, USENIX Security Symposium, 2018.
• Antoine Vastel, Pierre Laperdrix, Walter Rudametkin et Romain Rouvoy, FP-STALKER: Tracking Browser Fingerprint Evolutions, IEEE Symposium on Security and Privacy, 2018.
• Pierre Laperdrix, Nataliia Bielova, Benoit Baudry et Gildas Avoine, Browser Fingerprinting: A survey, ACM Transactions on the Web, 2020.
• European Data Protection Board, Guidelines 2/2023 on the technical scope of Art. 5(3) of the ePrivacy Directive, 2024.
• Information Commissioner’s Office, Our response to Google’s policy change on fingerprinting, 2024.
• Mozilla, Firefox expands fingerprint protections, 2025.
• WebKit, News from WWDC25: Web technology coming this fall in Safari 26 beta, 2025.
• Brave, Fingerprinting defenses 2.0.