Les pages de test d’empreinte affichent de nombreuses données que les sites peuvent déjà lire. Ces six vérifications permettent de repérer les incohérences entre navigateur, système, région, réseau et rendu, car des signaux contradictoires ressortent souvent davantage qu’une valeur inhabituelle.
Ouvrez n’importe quelle page de test d’empreinte du navigateur : vous verrez une longue liste de champs, comme le UA, l’écran, le fuseau horaire, les polices, les résultats de rendu Canvas et les paramètres matériels. Beaucoup regardent d’abord le niveau d’« unicité », alors que c’est en réalité l’élément le moins important. Ce qui compte surtout, c’est que toutes ces informations soient cohérentes entre elles.
Ce que les sites peuvent déjà lire
Une empreinte n’est pas stockée comme un cookie. Les cookies peuvent être supprimés, bloqués ou contournés avec la navigation privée ; l’empreinte provient de la configuration même du navigateur et de l’appareil. Le UA contient le type et la version du navigateur ainsi que le système d’exploitation et sa version. S’y ajoutent les extensions ou plugins installés, la résolution et la profondeur des couleurs de l’écran, la liste des polices, le fuseau horaire et la langue préférée, le type de CPU, le modèle de GPU et la mémoire, l’adresse IP, l’opérateur et le type de connexion, ainsi que les résultats de rendu fournis par des interfaces HTML5 comme Canvas et WebGL. Ensemble, ces champs forment un identifiant qui change peu lorsque l’on change d’IP, supprime les cookies ou active la navigation privée. Les plateformes s’appuient sur le même principe pour déterminer si des comptes peuvent être liés.
Trois éléments à comparer d’abord avec le système
Le User Agent est le meilleur point de départ, car c’est la façon dont le navigateur se présente lui-même. Copiez le UA depuis la page de test, vérifiez la version du navigateur dans ses paramètres, puis la version du système d’exploitation dans les réglages système. Si le système ou la version du noyau annoncés par le UA ne correspondent pas à la machine réelle, ou sont nettement en retard sur les versions courantes, c’est une incohérence facile à repérer.
Le fuseau horaire doit correspondre à la région de sortie du réseau. Les pages de test indiquent généralement le fuseau actuel directement, et un simple script de lecture du fuseau renvoie la même valeur. Utilisez aussi une page de recherche d’IP pour vérifier la région de l’adresse de sortie. Si les deux indiquent des régions différentes, il faut corriger cet écart.
La langue et la région sont des signaux faibles lorsqu’ils sont pris séparément, mais utiles ensemble. Consultez les valeurs renvoyées par navigator.language et navigator.languages et comparez-les aux langues courantes dans la région de sortie. Un fuseau américain, une langue chinoise et une sortie en Europe sont plus visibles ensemble que chacun de ces éléments pris isolément.
Écran, sortie réseau et caractéristiques de rendu
Pour l’écran et le matériel, deux questions comptent : les valeurs sont-elles courantes et correspondent-elles au type d’appareil déclaré par le UA ? Résolution, ratio de pixels, zone disponible, nombre de cœurs CPU et mémoire peuvent être examinés ensemble. Une résolution de smartphone associée à un UA de bureau est une contradiction classique.
WebRTC doit être vérifié séparément, car il peut révéler de vraies informations réseau. Les pages de test lui consacrent généralement une rubrique. Regardez si une adresse locale de la machine apparaît, par exemple une adresse commençant par 192.168 ou 10, ou même la véritable adresse publique de sortie. Si un proxy est actif mais que l’adresse réelle apparaît quand même, ce trafic ne passe pas par le proxy. C’est le point le plus prioritaire.
Pour Canvas et WebGL, vérifiez la stabilité des résultats et leur cohérence avec le modèle de GPU déclaré. Un détail compte : si plusieurs environnements ouverts côte à côte sur la même machine renvoient exactement les mêmes valeurs de rendu, ils sont plus faciles à relier que si ces valeurs comportent un peu de variation ou de bruit.
Les contradictions ressortent plus qu’un manque de réalisme
Les plateformes n’exigent pas que chaque appareil soit parfaitement unique. Elles cherchent plutôt à savoir si l’ensemble des informations ressemble à ce qu’émettrait une machine normale. Une valeur peu « réaliste », comme une résolution rare, n’est généralement qu’un signal faible. En revanche, lorsque plusieurs champs se contredisent, l’anomalie devient beaucoup plus facile à détecter. Le UA indique Windows mais la liste de polices ressemble à celle de macOS ; le fuseau est aux États-Unis, la langue est chinoise et la sortie se trouve en Europe ; la résolution correspond à un téléphone mais le UA annonce un navigateur de bureau. Une seule de ces combinaisons peut annuler beaucoup de réglages fins effectués ailleurs. L’auto-vérification doit donc chercher d’abord les contradictions nettes, puis seulement affiner les paramètres.
Si vous ne voulez corriger que trois points
Les fuites WebRTC arrivent en premier, car elles révèlent des informations réseau réelles. Ensuite, le fuseau horaire et la langue doivent être cohérents avec la région de sortie, car ces écarts peuvent facilement s’additionner pour former un profil inhabituel. Enfin vient le traitement de Canvas et WebGL, afin d’éviter que la même machine n’expose directement une valeur de rendu stable et unique.
Il existe aussi une limite pratique : désactiver ou restreindre JavaScript peut bloquer une partie de la collecte, mais réduit nettement l’utilisabilité de nombreux sites. Les navigateurs axés sur la confidentialité intègrent certaines protections et suffisent souvent pour la navigation quotidienne, mais sont moins souples lorsqu’il faut maintenir longtemps plusieurs identités sans lien entre elles.
Comment maintenir plusieurs environnements
L’objectif n’est pas de générer une empreinte entièrement aléatoire à chaque fois. Chaque environnement doit rester stable en interne tout en étant différent des autres. Avec PurpleMark, créez un environnement de navigateur distinct pour chaque compte, gérez séparément des paramètres comme Canvas, puis utilisez une page de test pour vérifier la cohérence de chaque environnement. Un environnement qui passe cette vérification est celui qu’il vaut la peine de conserver sur le long terme.
Au fond, un test d’empreinte n’a que deux objectifs : voir ce que vous exposez et vérifier que toutes ces informations restent cohérentes. L’unicité est le point dont il faut le moins s’inquiéter.
