Fingerprinting
Le fingerprinting (prise d’empreinte) identifie un navigateur ou un appareil sans rien y stocker, en combinant des dizaines d’attributs observables comme le user agent, la taille d’écran, les polices, le fuseau horaire, le matériel et le rendu canvas en une signature assez stable pour reconnaître le même visiteur.Chaque attribut qu’un navigateur révèle est banal ; la combinaison est rare. Des études ont montré que quelques dizaines de signaux (polices installées, rendu d’un canvas caché par la carte graphique, particularités du traitement audio, dimensions de l’écran, langue, plugins et adresse IP) isolent la plupart des navigateurs. Le fingerprinting n’a besoin d’aucun cookie et survit à leur suppression, ce qui explique qu’il serve à la fois à la prévention de la fraude et au suivi des utilisateurs qui refusent les cookies.
Les autorités le traitent comme un traceur. L’avis 9/2014 du groupe de travail « Article 29 » a conclu que le fingerprinting d’appareil relève de l’article 5, paragraphe 3 de la directive ePrivacy parce qu’il accède à des informations stockées sur l’appareil, et les lignes directrices 2/2023 du CEPD (Comité européen de la protection des données), dans leur version finale d’octobre 2024, confirment l’analyse pour les techniques modernes. Le consentement est donc requis sauf si l’usage est strictement nécessaire à un service demandé par l’utilisateur, comme la sécurisation d’une connexion. La CNIL et l’ICO disent la même chose dans leurs recommandations sur les cookies ; les recommandations de l’ICO sur les technologies de stockage et d’accès, finalisées en avril 2026, consacrent une section au fingerprinting d’appareil.
Les navigateurs combattent le fingerprinting en réduisant l’entropie qu’ils exposent et en randomisant des valeurs (Safari, Firefox et Brave le font à des degrés divers). Pour un site, la règle est d’éviter les scripts de fingerprinting à des fins marketing et de traiter ceux qui sont nécessaires à la sécurité comme une exception strictement nécessaire et documentée dans la politique de cookies ; voir la directive ePrivacy.