La Galerie des Miroirs Bavards · Ce qu'un site voit de vous

L’essentiel en cinq lignes

1. Où vous êtes : dans la première salle de la Tour aux Volets, l’aile du site sur la vie privée.
2. Ce que vous apprenez : ce qu’un site lit de vous sans rien demander, et ce qu’il ne peut pas savoir.
3. Ce que vous faites : vous lisez le panneau « Ce que ce site sait de vous », puis vous le comparez dans deux navigateurs.
4. Ce qu’il vous faut : deux navigateurs, ou deux appareils. Aucun argent, aucun compte. Effort : 1 sur 5. Durée : cinq à dix minutes.
5. Ce que vous y gagnez : vous saurez ce qui vous rend reconnaissable en ligne, et quels outils y changent quelque chose.

Pourquoi cette salle

À chaque page ouverte, votre navigateur se présente : sa langue, son nom, votre système, votre fuseau horaire, la taille de votre écran. Le serveur (l’ordinateur qui héberge le site) reçoit en plus votre adresse IP : le numéro de votre connexion à Internet. Ce n’est pas un piratage : c’est le web normal.

Le château (le site) affiche tout cela en direct dans un panneau, « Ce que ce site sait de vous », sans rien envoyer à personne.

À la fin, vous saurez :

• ce qu’est une empreinte de navigateur : des détails banals qui, mis ensemble, peuvent vous rendre reconnaissable sans aucun cookie (un petit fichier déposé par un site pour vous reconnaître) ;
• la différence entre être unique et être dans la foule ;
• pourquoi un VPN change votre adresse IP, mais pas votre fuseau horaire.

Cette salle ne vous protège encore de rien : elle montre ce dont les salles suivantes vous protègent.

L’histoire

Cas fictif, construit sur des faits réels.

Paul a 61 ans. Il a lu qu’un VPN rend « invisible ». Un VPN fait passer votre connexion par le serveur d’une entreprise, qui prête son adresse IP. Paul en installe un et choisit un serveur aux Pays-Bas. Pour Internet, pense-t-il, il est désormais à Amsterdam.

Son site d’actualité habituel, lui, voit ceci :

• une adresse IP néerlandaise, celle du VPN ;
• une langue préférée : le français de France ;
• un fuseau horaire : Europe/Paris ;
• un ordinateur sous Windows, avec la dernière version de Chrome ;
• un écran de 1536 × 864 pixels, avec une mise à l’échelle de 125 % ;
• huit cœurs de processeur.

C’est un Néerlandais qui lit en français et vit à l’heure de Paris. Il a la même machine, le même écran et les mêmes réglages que le Paul d’hier. Le VPN a changé l’adresse sur l’enveloppe. Il n’a pas changé l’écriture.

Rien de grave pour autant. Le site ne connaît toujours ni le nom de Paul, ni son adresse, ni son téléphone. Seul le fournisseur d’accès (l’opérateur qui vous relie à Internet) sait relier une adresse IP à un abonné. Il ne le dit que sur demande d’une autorité : la justice, la police, ou l’Arcom pour le partage d’œuvres protégées. L’Arcom est l’autorité publique qui contrôle l’audiovisuel et le numérique. Mais une régie publicitaire peut se dire : « Tiens, revoilà ce navigateur-là. » Une régie est une entreprise qui place des publicités sur des centaines de sites. Elle vous reconnaît avec ou sans cookies.

La première grande mesure de cette idée date de 2010. L’Electronic Frontier Foundation (EFF), une association américaine de défense des libertés numériques, a monté un site d’essai, Panopticlick. Il relevait ces petits détails chez ses visiteurs. Sur 470 161 navigateurs, 83,6 % avaient une combinaison unique. Personne n’avait déposé de cookie : les détails banals suffisaient.

Le site existe toujours, sous le nom de Cover Your Tracks. Vous pourrez y aller en fin de salle.

Le sergent Firmin, le garde qui explique qui vous voit : « Votre adresse dit d’où vous venez, votre navigateur dit qui vous êtes. Le VPN a repeint la porte, mais c’est toujours la même maison. »

La recette

Trois étapes : lire le panneau, juger si vous êtes unique, puis comparer deux navigateurs. Vous obtenez deux empreintes différentes de la même personne : vous.

Étape 1 : lisez votre panneau

Chaque ligne du panneau donne une information, sa valeur chez vous, et qui la fournit.

1. Ouvrez le panneau « Ce que ce site sait de vous », dans cette salle.
2. Lisez chaque ligne du tableau ci-dessous dans votre panneau.

Ligne	Ce qu’elle dit	Qui la donne
Langue	fr-FR, parfois suivie d’une liste (fr, en-US…)	votre navigateur, à chaque page, sans qu’on la lui demande
Navigateur et version	Firefox 140, Chrome, Safari…	l’« agent utilisateur » : la carte de visite que le navigateur envoie à chaque page
Système	Windows, macOS, Android, iOS, Linux	l’agent utilisateur aussi
Fuseau horaire	Europe/Paris, ou UTC sous Tor	l’horloge de votre appareil, lisible par le code de la page (JavaScript)
Écran	largeur, hauteur, densité de pixels (la finesse de l’affichage)	JavaScript
Cœurs de processeur	4, 8, 12…	JavaScript
Adresse IP	masquée par défaut	le serveur la reçoit ; le navigateur, lui, ne la connaît pas

Deux remarques pour lire juste :

• L’adresse IP n’apparaît pas d’office. Aucune fonction du navigateur ne la donne : il faut qu’un serveur la lui renvoie. Le château n’a aucun code qui la lise ou la garde. Son hébergeur la reçoit, comme celui de tout site, parce qu’il vous envoie les pages. Un bouton du panneau interroge un autre site, et vous prévient que ce site verra votre IP. Rien ne le déclenche à votre place. Retenez ceci : tout site que vous visitez reçoit votre IP. Il en tire en général une ville ou un département, et le nom de votre opérateur. Il n’en tire pas votre identité.
• Le panneau ne lit pas le « canvas ». C’est un dessin invisible que certains traqueurs font tracer à votre carte graphique pour la reconnaître. Les vrais traqueurs le font. Le château vous le signale, sans vous le faire.

Étape 2 : jugez si vous êtes unique ou dans la foule

En bas du panneau, une ligne résume : « plutôt unique » ou « plutôt dans la foule ».

Cette ligne est une estimation. Pour savoir si vous êtes vraiment unique, il faudrait comparer votre empreinte à celles de milliers de visiteurs, donc les collecter. Le château ne collecte rien. Le panneau signale donc les valeurs rares : une langue et un fuseau qui ne vont pas ensemble, un écran inhabituel, une longue liste de langues. Il reconnaît aussi les navigateurs faits pour que tous leurs utilisateurs se ressemblent.

Retenez trois choses :

• Chaque détail est banal. Des millions de gens ont fr-FR et Europe/Paris.
• C’est la combinaison qui distingue. Langue, écran, zoom, cœurs et version exacte : ensemble, ils deviennent vite rares.
• Il y a deux façons de s’en sortir. La première : ressembler à tout le monde. Tor Browser et Mullvad Browser sont deux navigateurs conçus pour cela : chaque utilisateur y présente la même empreinte. La seconde : brouiller les pistes. Le navigateur Brave modifie légèrement certaines valeurs, différemment pour chaque site et à chaque session. La première est la plus solide, la seconde la plus confortable.

Étape 3 : comparez deux navigateurs

Le panneau affiche une empreinte courte : huit caractères calculés à partir des lignes ci-dessus.

1. Notez l’empreinte courte de votre navigateur.
2. Ouvrez le château dans un autre navigateur.
3. Ouvrez-y le panneau, et notez la nouvelle empreinte courte.
4. Comparez les lignes des deux panneaux.

Vous verrez ceci :

• la langue, le fuseau, l’écran et les cœurs sont souvent identiques, puisque la machine est la même ;
• le navigateur, sa version et parfois la liste des langues changent ;
• l’empreinte courte change donc aussi.

C’est la leçon centrale : changer de navigateur change ce qu’un site voit ; changer d’adresse IP ne le change pas. Le VPN de Paul agissait au mauvais endroit.

Pour l’instant, ne changez rien d’autre. Cette salle est un miroir, pas une protection. Les gestes viennent dans les salles suivantes, du plus rentable au plus exigeant : un navigateur qui bloque les traqueurs, un VPN pour cacher vos sites à votre fournisseur d’accès, puis Tor pour vous fondre dans la foule.

Les variantes : la fenêtre privée, Tor Browser, une mesure sur une vraie base

Variante	Effort en plus	Ce que vous gagnez	Ce que vous risquez
La fenêtre privée	aucun	vous voyez ce qu’elle cache, et ce qu’elle ne cache pas	rien
Tor Browser	l’installer, si ce n’est pas fait	vous voyez une empreinte « dans la foule »	rien
Cover Your Tracks ou AmIUnique	deux minutes	une mesure contre une vraie base d’empreintes	ces sites gardent votre empreinte, pour leur recherche

La fenêtre privée. Refaites l’étape 3 dans une fenêtre privée du même navigateur. L’empreinte est en général la même. La navigation privée efface l’historique et les cookies à la fermeture. Elle ne change ni votre écran, ni votre fuseau, ni votre navigateur. Mozilla le dit lui-même : elle n’empêche pas les sites de connaître votre localisation. Une exception : dans ses versions récentes (dont la 145, de novembre 2025), Firefox cache aux sites, en fenêtre privée, certains détails de votre appareil, comme le nombre de cœurs du processeur. L’empreinte courte peut alors changer.

Tor Browser. Tor Browser fait passer votre connexion par trois relais, et il est réglé pour que tous ses utilisateurs se ressemblent. Si vous l’avez, ouvrez-y le château. Le panneau change : fuseau UTC, langue en-US (selon le réglage), fenêtre aux dimensions arrondies, cœurs de processeur figés. La ligne du bas passe à « dans la foule ». Tor Browser ne vous rend pas invisible : il vous rend identique aux autres utilisateurs de Tor Browser. C’est mieux.

Mullvad Browser, ou Firefox avec l’option cachée resistFingerprinting, donne presque le même résultat. Le panneau peut le prendre pour Tor : c’est normal.

Une mesure sur une vraie base. Deux sites de recherche comparent votre empreinte à celles de nombreux visiteurs : Cover Your Tracks (EFF) et AmIUnique (une équipe de chercheurs français). Ils collectent votre empreinte : c’est le principe de leur mesure, et ils l’annoncent clairement. Allez-y en connaissance de cause.

La boussole

La boussole est le profil de la salle sur six axes, notés de 0 à 3. Le point de comparaison est le village : ce que vous faites déjà, avec votre navigateur habituel. Ici, rien ne change dans vos outils : vous gagnez de la lucidité, pas de la protection.

Axe	Pourquoi
Garde	Rien ne change dans qui tient quoi.
Juridiction	Rien ne change de pays ni de droit.
Monnaie	Aucun centime n’est en jeu.
Discrétion	Vous n’êtes pas plus discret. Mais vous savez enfin ce qui vous trahit, et ce savoir guide tous les choix suivants.
Confort	Vous ne changez aucune habitude : vous regardez.
Prudence (un risque existant réduit)	Vous ne croirez plus qu’un VPN ou une fenêtre privée vous rend invisible. Cette illusion coûte cher le jour où l’on compte dessus.

Les quatre caméras

Une caméra est un observateur : le curieux, la banque, la plateforme ou l’administration. Le tableau dit ce que chacune voit, comparé au village.

Caméra	Ce qu’elle voit, comparé au village
du Badaud (le curieux, le voleur)	La même chose qu’avant. Vous savez désormais que la fenêtre privée vous protège de qui utilise l’ordinateur après vous, et seulement de lui.
du Changeur (la banque)	La même chose qu’avant. Elle connaît déjà votre nom, votre adresse et vos achats : une empreinte ne lui apprendrait rien.
du Marchand (la plateforme : sites, régies publicitaires)	La même chose qu’avant. Mais vous savez qu’un site peut vous reconnaître sans cookie, et quels navigateurs l’en empêchent.
de l’Intendance (l’administration)	La même chose qu’avant. Votre fournisseur d’accès garde vos données de connexion un an, comme avant.

Pour situer : un paiement par carte relie chaque achat à votre compte bancaire, donc à votre nom. Votre banque voit le commerçant et le montant. Le commerçant voit votre carte et votre banque. Une empreinte de navigateur, elle, ne transmet aucun nom. Elle permet de dire « c’est le même navigateur qu’hier ». C’est beaucoup pour une régie publicitaire, mais bien moins qu’un paiement par carte.

Partageot, l’écuyer de votre compagnie, qui partage tout : « J’ai envoyé un pigeon au royaume pour dire que j’étais à Amsterdam. Il portait mon fuseau, ma langue et mon écran, alors tout le monde a compris que j’étais resté à Paris. »

Les risques, chiffrés

Faire cette salle ne vous expose à rien de nouveau. Les cinq risques ci-dessous existent déjà, chaque jour, avec votre navigateur actuel. Le plus courant reste le cookie ; le plus discret, l’empreinte.

Risque	En une ligne
1. Être reconnu par son empreinte	Possible partout. Un navigateur courant et à jour se fond déjà assez bien dans la foule.
2. Les cookies et traqueurs classiques	Fréquents, mais en net recul sur les grands sites français depuis 2021.
3. L’adresse IP	Certaine : chaque site la reçoit. Elle donne une ville, pas votre nom.
4. Recopier son empreinte d’un navigateur à l’autre	Nul : elle ne dit rien qu’un site ne sache déjà.
5. Les sites de mesure	Faible : ils gardent votre empreinte, et ils l’annoncent.

1. Être reconnu par son empreinte, sans cookie

• Possible ? Oui, techniquement, sur tout site qui exécute du JavaScript.
• Probable ? Cela dépend beaucoup de l’échantillon mesuré. En 2010, 83,6 % des 470 161 navigateurs testés par l’EFF étaient uniques. Mais ces visiteurs s’intéressaient à la vie privée, avec des configurations rares. En 2016, AmIUnique trouvait 89,4 % d’empreintes uniques sur 118 934. En 2018, une équipe qui comptait certains des mêmes chercheurs a étudié 2 067 942 empreintes, relevées sur un grand site français. Elle n’en trouvait plus que 33,6 % d’uniques. Un navigateur courant, à jour, sur un appareil courant, se fond donc déjà assez bien dans la foule.
• Coût : de la publicité ciblée, un profil chez un courtier en données (une entreprise qui achète et revend des profils). Pas d’argent perdu, pas de nom révélé par l’empreinte seule.
• Tendance : du côté des navigateurs, en baisse : Firefox, Safari, Brave et Tor renforcent leurs défenses. Du côté des traqueurs, en hausse possible : depuis le 16 février 2025, Google n’interdit plus aux clients de ses outils publicitaires d’utiliser l’empreinte. Le régulateur britannique de la vie privée (l’ICO) a jugé ce changement « irresponsable ».
• Durée : l’empreinte s’efface en partie avec le temps. Une mise à jour du navigateur, un nouvel écran ou un nouvel appareil la changent.
• Comparé au village : si vous êtes connecté à votre compte Google, Facebook ou Amazon, vous êtes déjà reconnu à coup sûr, par votre identifiant. L’empreinte sert à ceux qui ne vous ont pas encore identifié.

2. Les cookies et traqueurs classiques

• Possible ? Oui, sur presque tous les sites.
• Probable ? Oui, mais en net recul. La CNIL (l’autorité française de protection des données) a suivi les 1 000 sites les plus visités en France. Entre janvier 2021 et août 2022, la part de sites déposant plus de 6 cookies tiers (des cookies posés par un autre site que celui que vous visitez, souvent une régie) est passée de 24 % à 12 %. Celle des sites n’en déposant aucun est passée de 20 % à 29 %.
• Coût : de la publicité ciblée et un profil, comme pour l’empreinte.
• Tendance : en baisse sur les grands sites français, sous l’effet des contrôles de la CNIL.
• Durée : jusqu’à ce que vous effaciez les cookies, ou à la fermeture d’une fenêtre privée.
• Comparé au village : Firefox isole par défaut les cookies de chaque site depuis juin 2022. Chrome accepte toujours les cookies tiers par défaut. Ce choix de navigateur pèse plus lourd que tous les bandeaux que vous refusez.

3. L'adresse IP

• Possible ? C’est certain : chaque site la reçoit.
• Probable ? Certain. Le site en tire en général une ville ou un département, et le nom de l’opérateur.
• Coût : une localisation approximative. Pas votre nom : seul votre fournisseur d’accès sait relier une IP à un abonné, et il ne le dit que sur demande d’une autorité.
• Tendance : stable.
• Durée : les opérateurs conservent ces données de connexion un an. Le décret n° 2026-920, en vigueur depuis le 21 octobre 2026, a reconduit cette obligation. Elles s’effacent ensuite.
• Comparé au village : c’est le cas de tous les sites que vous visitez déjà.

4. Recopier son empreinte d'un navigateur à l'autre

• Possible ? C’est le geste de la quête.
• Probable ? Le risque est nul.
• Coût : aucun. L’empreinte courte résume des valeurs que tout site lit déjà. Quelqu’un d’obstiné pourrait essayer toutes les combinaisons courantes et retrouver les valeurs d’origine. Il apprendrait votre langue, votre fuseau et la taille de votre écran, et toujours pas qui vous êtes.
• Tendance : sans objet.
• Durée : l’empreinte ne sort pas de votre appareil, sauf si vous la recopiez ailleurs.
• Comparé au village : une régie publicitaire lit déjà toutes ces valeurs.

5. Les sites de mesure (Cover Your Tracks, AmIUnique)

• Possible ? Oui : ils collectent votre empreinte.
• Probable ? Certain, si vous y allez. C’est le principe de leur mesure.
• Coût : faible. Ils la gardent pour leur recherche, et ils l’annoncent.
• Tendance : stable.
• Durée : le temps que ces sites gardent leurs données.
• Comparé au village : une régie publicitaire lit les mêmes valeurs, sans vous prévenir.

La quête : Se voir comme on vous voit

La quête est l’exercice de la salle. Elle a deux objectifs, indépendants l’un de l’autre. L’objectif de taverne prouve que vous avez compris. L’objectif de donjon prouve que vous avez fait le vrai geste. Vous donnez votre preuve à la Cafetière, l’encart qui vérifie vos réponses dans votre navigateur. Si la preuve est bonne, votre navigateur fabrique votre drapeau : un code GRAIN{xxxx-xxxx} qui prouve votre réussite. La Cafetière l’inscrit dans votre parchemin (votre fichier de progression chiffré). Chaque objectif vous donne aussi un écusson (une récompense du jeu) et des liards (les points du jeu).

Objectif de taverne : lisez votre panneau

Ouvrez votre panneau « Ce que ce site sait de vous ». Puis répondez, dans la Cafetière, à trois questions sur ce qu’il contient. Par exemple : votre fuseau horaire, la ligne que votre navigateur ne connaît pas lui-même, ce que la fenêtre privée efface à la fermeture. Vous choisissez ou saisissez chaque réponse.

Objectif de donjon : obtenez deux empreintes différentes

Ouvrez le château dans un second navigateur, ou sur un second appareil. Lisez-y l’empreinte courte : huit caractères. Revenez dans le navigateur où votre parchemin est ouvert. Saisissez ces huit caractères dans la Cafetière. Si les deux empreintes diffèrent, votre navigateur fabrique le drapeau, et la Cafetière l’inscrit.

Comment la Cafetière vérifie, chez vous

Rien ne sort de votre navigateur.

Le détail de la vérification

• Objectif de taverne : la Cafetière compare vos trois réponses aux valeurs de votre propre panneau, dans votre navigateur.
• Objectif de donjon :
  1. Le panneau lit une poignée de valeurs : langues, agent utilisateur, système, fuseau horaire, dimensions et densité de l’écran, nombre de cœurs. Pas de canvas, pas de liste de polices, pas d’IP.
  2. Il les hache avec SHA-256. Hacher, c’est calculer un résumé court et fixe d’un texte ; SHA-256 est la méthode intégrée au navigateur. Il affiche les huit premiers caractères : c’est l’empreinte courte. Elle n’est ni stockée ni envoyée.
  3. Dans le second navigateur, le même calcul donne une autre empreinte courte. Vous la saisissez à la main dans la Cafetière, dans le navigateur où votre parchemin est ouvert.
  4. La Cafetière vérifie que l’empreinte saisie est bien formée, et qu’elle diffère de la sienne.
  5. Votre navigateur calcule le drapeau des deux empreintes et de votre parchemin : il n’appartient qu’à vous. La Cafetière l’inscrit dans votre parchemin, avec les deux empreintes courtes.
• Peut-on tricher ? Oui. N’importe qui peut taper huit caractères au bon format, ou lire le code. Vous n’y gagneriez qu’un écusson pour un geste que vous n’avez pas fait. Le geste, lui, prend deux minutes.

Les sucres

Les sucres sont trois niveaux d’aide gratuits. Un sucre donne une piste, deux donnent la méthode, trois donnent la solution. Ouvrez-les un par un. Ils ne vous retirent rien : votre journal note seulement combien vous en avez pris.

Un sucre, une piste

Une fenêtre privée ne suffit pas : elle oublie, mais elle ne se déguise pas. Il vous faut un navigateur qui se présente autrement.

Deux sucres, la méthode

Ouvrez l’adresse du château dans un autre navigateur que celui-ci : Firefox si vous êtes sur Chrome, Safari si vous êtes sur Firefox, Tor Browser si vous l’avez. Ouvrez-y le panneau « Ce que ce site sait de vous ». Notez l’empreinte courte. Revenez ici, et saisissez-la dans la Cafetière.

Trois sucres, la solution

• La Cafetière dit « même empreinte » : vous avez ouvert le même navigateur, ou sa fenêtre privée. Changez de navigateur, ou d’appareil.
• La fenêtre privée de Firefox vous a donné une empreinte différente : elle est acceptée, car Firefox y cache certaines valeurs. Le geste qui compte reste de comparer deux contextes.
• La Cafetière dit « format inattendu » : vous avez saisi un espace ou un caractère de trop, ou un morceau du drapeau. Saisissez seulement les huit caractères de la ligne « empreinte courte ».
• Vous n’avez qu’un seul navigateur : le téléphone fait l’affaire. Ouvrez-y le château, lisez l’empreinte, puis saisissez-la ici.

Le déca

Vous pouvez lire la salle sans accomplir la quête : c’est « prendre un déca ». Vous n’aurez pas l’écusson, mais le chemin continue, et vous pourrez revenir faire la quête quand vous voudrez.

Le panneau, lui, reste à votre disposition. Regardez-le changer le jour où vous changerez de navigateur.

Le verdict

Écusson forgé : Observé lucide. Vous avez comparé les empreintes de deux navigateurs. Pour votre entourage, vous êtes désormais la personne qui colle du scotch sur sa webcam, et qui répond « ça dépend » quand on lui demande s’il faut accepter les cookies.

L’Intendance, elle, n’a besoin d’aucune empreinte pour vous reconnaître. Elle perd votre dossier entre deux guichets, mais n’oublie jamais votre adresse pour l’avis d’imposition.

Si votre seconde empreinte vient de Tor Browser, le déblocage ajoute ces lignes :

Votre second navigateur ressemble trait pour trait à des centaines de milliers d’autres. Pour la première fois de votre vie numérique, vous êtes parfaitement banal : c’est ce qu’on fait de plus difficile.

Percolozor, en voix off. J’ai écrit un panneau qui lit votre navigateur et ne garde rien. Mon hébergeur reçoit quand même votre IP : j’ai longtemps cherché à l’en empêcher, avant de comprendre que c’est ainsi que marche Internet.

Ce que dit la loi

En bref : regarder ce que dit votre navigateur, en changer, ou utiliser un VPN ou Tor, n’est interdit par aucun texte en France. Pour les sites, l’empreinte est un traceur comme le cookie : la publicité ciblée exige votre accord préalable.

La loi en détail : vos outils, les règles des sites, les sanctions, la conservation de l'IP

• Vos outils. Un autre navigateur, une fenêtre privée, un VPN ou Tor : aucun texte ne les interdit. L’article 30 de la loi pour la confiance dans l’économie numérique (LCEN, 2004) pose que « l’utilisation des moyens de cryptologie est libre ». La cryptologie, c’est l’ensemble des techniques de chiffrement.
• Les règles des sites. La CNIL range expressément le « fingerprinting » (l’empreinte) parmi les traceurs. La règle de l’article 82 de la loi Informatique et Libertés s’applique donc. Cet article transpose la directive européenne ePrivacy. Lire des informations sur votre appareil suppose votre consentement préalable, comme pour les cookies. Seule exception : ce qui est strictement nécessaire au service. La publicité ciblée n’en fait pas partie.
• Les sanctions. Entre 2020 et 2022, la CNIL a prononcé 8 sanctions sur les cookies, pour 421 millions d’euros au total. Le 1er septembre 2025, elle a infligé 325 millions d’euros à Google et 150 millions d’euros à Shein, notamment pour des cookies déposés sans consentement valable.
• La conservation de l’IP. Les opérateurs conservent les données de connexion un an, adresse IP comprise. C’est l’article L. 34-1 du code des postes et des communications électroniques, appliqué par décret. Le décret n° 2026-920 du 30 septembre 2026 a reconduit cette obligation. Le 30 juin 2023, le Conseil d’État avait validé le décret précédent, de 2022, qui imposait déjà la même durée.

Les chiffres sont au Le Greffe · La loi en chiffres.

Pour aller plus loin

Dans la Tour aux Volets

• L’Atelier du Serrurier · Les mots de passe, enfin réglés : le geste le plus rentable de l’aile. Un mot de passe réutilisé compte plus que ce que montre le miroir.
• L’Écurie des Montures · Navigateur, bloqueur, moteur de recherche : le premier geste qui change vraiment ce que montre le panneau.
• La Diligence aux Rideaux Tirés · VPN et fournisseur d’accès : déplacer la confiance : la ligne « adresse IP », avant et après. Vous saurez ce que le VPN de Paul cachait, et ce qu’il ne cachait pas.
• Les Souterrains à Trois Relais · Tor : se fondre dans la foule : la version complète de la variante Tor Browser.
• La Garde-Robe · Cloisonner : une identité par usage : pour que le navigateur du travail et celui du reste ne se ressemblent plus du tout.

Dans l’Aile du Trésor

• Le Puits du Revenant · Tout perdre, tout retrouver : vous y avez peut-être ouvert Tor Browser pour la première fois. Cette salle explique ce que vous avez vu.
• Le Poste de Garde aux Caméras · La discrétion : ce qu’un curieux peut retrouver : sur une chaîne de blocs aussi, ce sont les détails banals mis ensemble qui vous distinguent.

Dans la Volière

• La Salle du Tri Postal · L’enveloppe parle plus que la lettre : ce que les métadonnées disent de vous, même quand le contenu est chiffré. C’est le raisonnement de l’enveloppe de Paul.

Sources

Vérifiées en octobre 2026.

• MDN, l’objet Navigator (langue, agent utilisateur, cœurs) : https://developer.mozilla.org/en-US/docs/Web/API/Navigator
• MDN, fuseau horaire via Intl.DateTimeFormat().resolvedOptions() : https://developer.mozilla.org/en-US/docs/Web/JavaScript/Reference/Global_Objects/Intl/DateTimeFormat/resolvedOptions
• MDN, hachage SHA-256 natif (SubtleCrypto.digest) : https://developer.mozilla.org/en-US/docs/Web/API/SubtleCrypto/digest
• Eckersley (EFF), How Unique Is Your Web Browser?, 2010 (470 161 navigateurs, 83,6 % uniques) : https://coveryourtracks.eff.org/static/browser-uniqueness.pdf
• Laperdrix et al., Browser Fingerprinting: A survey (AmIUnique 2016 : 118 934 empreintes, 89,4 % uniques ; Gómez-Boix et al. 2018 : 2 067 942 empreintes d’un grand site français, 33,6 % uniques) : https://arxiv.org/pdf/1905.01051
• Assessing Web Fingerprinting Risk (2024) : https://arxiv.org/pdf/2403.15607
• EFF, Cover Your Tracks : https://coveryourtracks.eff.org/
• AmIUnique : https://amiunique.org/
• CNIL, bilan du plan d’action cookies, 16 mai 2023 (1 000 sites ; plus de 6 cookies tiers : 24 % puis 12 % ; aucun : 20 % puis 29 % ; 8 sanctions, 421 millions d’euros) : https://www.cnil.fr/fr/evolution-des-pratiques-du-web-en-matiere-de-cookies-la-cnil-evalue-limpact-de-son-plan-daction
• LINC (CNIL), étude sur les traceurs, 4 février 2021 : https://linc.cnil.fr/observer-les-pratiques-cachees-du-web-une-nouvelle-etude-du-linc-sur-les-traceurs-et-lecosysteme
• CNIL, « Cookies et autres traceurs : que dit la loi ? » (le calcul d’une empreinte unique du terminal, ou « fingerprinting », compte parmi les traceurs) : https://www.cnil.fr/fr/cookies-et-autres-traceurs/regles/cookies/que-dit-la-loi
• CNIL, sanctions (dont Google, 325 millions d’euros, et Shein, 150 millions d’euros, décisions du 1er septembre 2025) : https://www.cnil.fr/fr/thematique/cnil/sanctions
• Mozilla, ce que fait et ne fait pas la navigation privée : https://www.firefox.com/en-US/more/incognito-browser/
• Mozilla, protections contre l’empreinte de Firefox 145, en navigation privée (10 novembre 2025) : https://blog.mozilla.org/en/firefox/fingerprinting-protections/
• Mozilla, protection totale contre les cookies par défaut (juin 2022) : https://blog.mozilla.org/en/products/firefox/firefox-rolls-out-total-cookie-protection-by-default-to-all-users/
• Mozilla, resistFingerprinting : https://support.mozilla.org/en-US/kb/resist-fingerprinting
• Tor Project, conception de Tor Browser (anti-empreinte, canvas) : https://2019.www.torproject.org/projects/torbrowser/design/ ; présentation : https://support.torproject.org/tor-browser/getting-started/about-tor-browser/
• Tor Project, lancement du Mullvad Browser (2023) : https://forum.torproject.org/t/weve-teamed-up-with-mullvad-vpn-to-launch-the-mullvad-browser/7146
• Brave, protections contre l’empreinte (valeurs modifiées par site et par session) : https://github.com/brave/brave-browser/wiki/Fingerprinting-Protections ; présentation d’origine : https://brave.com/privacy-updates/4-fingerprinting-defenses-2.0/
• ICO (régulateur britannique), réponse au changement de règle de Google sur l’empreinte, applicable au 16 février 2025 (19 décembre 2024) : https://ico.org.uk/about-the-ico/media-centre/news-and-blogs/2024/12/our-response-to-google-s-policy-change-on-fingerprinting
• EFF, un VPN n’est pas un outil d’anonymat : https://ssd.eff.org/module/choosing-vpn-thats-right-you
• ANSSI, la LCEN et la liberté d’utiliser la cryptologie (article 30) : https://cyber.gouv.fr/crypto-le-webdoc/chapitre-iii-s%C3%A9curit%C3%A9-secret-et-l%C3%A9galit%C3%A9/
• Décret n° 2026-920 du 30 septembre 2026 (conservation des données de connexion pendant un an, en vigueur le 21 octobre 2026) : https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000054945173
• Conseil d’État, 30 juin 2023, n° 468361 (rejet des recours contre le décret n° 2022-1327) : https://www.conseil-etat.fr/fr/arianeweb/CE/decision/2023-06-30/468361