Table des matières
Sur smartphone, la navigation semble devenue plus sécurisée qu’il y a quelques années grâce au durcissement progressif d’iOS, d’Android et des moteurs web modernes. Pourtant, un domaine continue d’échapper à la visibilité du grand public : le fingerprinting avancé, une technique qui permet à un site d’identifier un appareil sans cookies, parfois avec une précision étonnante.
Même si les plateformes mobiles ont réduit la quantité d’informations accessibles aux scripts, certains navigateurs exposent encore davantage de données que d’autres.
Ce sont ces écarts qui expliquent pourquoi certains profils restent traçables de manière persistante, parfois sans que l’utilisateur en ait conscience.
Un navigateur peut sembler sécurisé en surface, mais tout dépend de ce qu’il laisse transiter :
caractéristiques graphiques, données du moteur JavaScript, capacités du matériel, variantes des capteurs, état du réseau, comportement du rendu, etc.
Les navigateurs les plus exposés ne sont pas forcément les moins populaires, mais ceux qui s’appuient sur un moteur Web plus permissif, ou qui ne masquent pas les particularités de l’appareil.
Dans ce cas, un script peut collecter suffisamment d’indices pour produire une empreinte stable et exploitable pour du suivi invisible.
Plus les signaux restent bruts, plus la combinaison devient unique.
La grande famille des navigateurs basés sur Chromium (Chrome, Edge, Brave, Opera, Samsung Internet…) profite d’un moteur performant et standardisé.
Mais cette standardisation a un revers : elle expose une quantité importante de signaux identiques entre navigateurs, ce qui facilite la tâche du fingerprinting.
On retrouve notamment :
Même si certains navigateurs tentent de brouiller certains paramètres (Brave notamment), la base Chromium reste suffisamment riche pour fournir une empreinte stable, surtout lorsqu’elle est combinée à des variations propres au matériel.
Le problème n’est pas la fuite d’une donnée isolée, mais l’accumulation de signaux trop précis.
Sur iOS, Safari bénéficie d’un environnement plus strict, car Apple contrôle toute la chaîne :
moteur WebKit, API accessibles, synchronisation iCloud, règles d’accès aux capteurs.
Cela réduit déjà une bonne partie de ce qu’un script peut observer, mais certains paramètres restent exploitables lorsqu’ils ne sont pas masqués par le navigateur :
Apple a réduit l’exposition de nombreuses données, mais les empreintes reposent souvent sur des comportements internes du moteur, difficiles à uniformiser.
Ainsi, même si Safari offre l’une des protections les plus élevées, il ne neutralise pas totalement les scripts conçus pour exploiter des signaux très fins.
Sur iOS, tous les navigateurs Chrome, Firefox, Brave, Edge utilisent WebKit, car Apple n’autorise pas d’autres moteurs.
Ce qui signifie que leurs protections face au fingerprinting sont très proches de celles de Safari.
Les différences proviennent surtout des options supplémentaires activées par chaque éditeur :
Mais au final, si un script contourne WebKit, il contournera tous les navigateurs iOS.
Les éditeurs ne peuvent agir que dans une zone limitée.
Android laisse davantage de liberté, ce qui permet l’existence de navigateurs construits sur des moteurs personnalisés ou sur des versions peu modifiées de Chromium.
Ce sont souvent eux qui restent les plus exposés.
Les navigateurs moins connus ou développés pour la légèreté offrent parfois :
Ces incohérences produisent, paradoxalement, des empreintes encore plus distinctives, car les variations ne sont pas corrigées ou normalisées.
De nombreuses applications Android ouvrent des pages via WebView plutôt que via un navigateur complet.
Or WebView hérite :
Résultat :
chaque appareil peut avoir un WebView légèrement différent, créant une empreinte quasi individuelle.
Pour les scripts avancés, ce type d’environnement est l’un des plus faciles à identifier, car il n’est pas protégé par les mesures d’un navigateur complet.
Les scripts de fingerprinting ne se contentent plus d’interroger la résolution ou la langue.
Ils exploitent des signaux beaucoup plus subtils, comme :
Ces signaux ne sont jamais affichés à l’utilisateur.
Ils proviennent des composants internes de l’appareil, ce qui explique pourquoi ils restent difficiles à neutraliser, même sur les navigateurs les plus rigoureux.
Plus la surface d’observation est grande, plus l’empreinte est précise.
Aucun navigateur mobile ne peut offrir une invisibilité totale.
Ce qui varie, c’est le niveau d’exposition aux signaux exploitables :
Les navigateurs ne se distinguent donc pas sur une frontière “protégé / vulnérable”, mais sur la quantité d’indices laissés aux scripts.