Empreinte du Navigateur : Canvas, WebGL et Polices Expliqués

Chaque fois que votre navigateur charge une page, il révèle une quantité surprenante d'informations sur lui-même. Une empreinte digitale est la combinaison de ces attributs, hachée en un identifiant qui est souvent suffisamment unique pour vous reconnaître lors de votre prochaine visite — même dans une nouvelle fenêtre incognito sans cookies. Le pouvoir vient de la combinaison : un seul attribut est commun, mais des dizaines ensemble sont rarement partagés par deux personnes.

Les signaux les plus informatifs sont :

• Le fingerprinting Canvas — le site dessine du texte et des formes cachés sur un <canvas> et lit les pixels en retour. De minuscules différences dans le GPU, les pilotes et le rendu des polices rendent la sortie subtilement unique par machine.
• Le fingerprinting WebGL — idée similaire utilisant le rendu 3D ; il expose également directement votre fournisseur de GPU et la chaîne de rendu.
• Polices installées — l'ensemble des polices que votre système possède, sondé en mesurant les dimensions du texte, est très distinctif.
• User-agent, langue, fuseau horaire et écran — OS, version du navigateur, locale, décalage horaire et métriques d'écran/fenêtre.
• Indices matériels — nombre de cœurs CPU, mémoire de l'appareil, particularités de la pile audio et support tactile.

Parce que ceux-ci sont lus avec des API JavaScript ordinaires, le fingerprinting n'a besoin d'aucune autorisation et ne laisse aucune trace évidente.

Les chercheurs mesurent les empreintes digitales en termes de entropie — combien d'informations identifiantes un signal transporte. Des projets comme AmIUnique et CreepJS collectent des millions d'échantillons et montrent qu'une empreinte digitale complète rend souvent un navigateur unique parmi tous les autres testés. La conclusion pratique : un site peut réidentifier un visiteur de retour uniquement à partir de l'empreinte digitale.

C'est pourquoi un proxy ou un VPN n'est qu'une partie du tableau. Changer votre adresse IP de sortie empêche la destination de voir votre véritable adresse et sépare votre identité réseau — ce qui est vraiment important, et quelque chose que vous pouvez vérifier sur les outils what-is-my-ip et IP info. Mais si votre empreinte digitale reste inchangée, un site qui utilise l'empreinte digitale peut toujours dire que le "nouveau" visiteur est le même navigateur. Une séparation robuste signifie changer à la fois l'IP et l'empreinte digitale ensemble, ce que les navigateurs anti-détection essaient précisément de faire — consultez notre guide des navigateurs anti-détection.

Les défenses vont des navigateurs anti-empreintes digitales (Tor Browser normalise de nombreux signaux afin que les utilisateurs partagent une empreinte digitale ; Firefox a resistFingerprinting) aux outils de spoofing par profil. Bloquer JavaScript contrecarrerait la plupart des empreintes digitales mais casserait la plupart des sites, donc ce n'est que rarement pratique.

Vous ne pouvez pas faire disparaître une empreinte digitale, mais vous pouvez réduire son impact. Étapes pratiques : gardez votre navigateur à une version courante et à jour pour vous fondre dans la foule ; évitez les packs de polices rares et les extensions exotiques qui ajoutent de l'entropie ; envisagez un navigateur qui normalise activement les signaux (Tor Browser, ou Firefox avec resistFingerprinting) si l'uniformité maximale est l'objectif. Pour un travail multi-comptes, utilisez un navigateur anti-détection pour donner à chaque profil une empreinte digitale cohérente plutôt que des valeurs aléatoires qui se contredisent. Quoi que vous choisissiez, gardez également le côté réseau cohérent : faites passer le profil par un proxy ou un VPN dont la géographie de sortie correspond au fuseau horaire et à la locale déclarés par l'empreinte digitale, et confirmez qu'il n'y a pas de fuite WebRTC ou DNS exposant votre véritable adresse derrière le tunnel.