Après le gel du User-Agent, pourquoi Client Hints devient-il le nouveau signal d’empreinte ? De UA à CH

Ces dernières années, les principaux navigateurs ont tous renforcé leurs politiques de confidentialité : Safari a lancé ITP, Firefox a introduit Total Cookie Protection et Chrome a officiellement avancé sur le gel du User-Agent (UA Reduction). Beaucoup pensent encore qu’il suffit de « modifier le UA » pour faire passer un appareil pour un autre, sans savoir que le UA a déjà été fortement simplifié et perd progressivement ses informations détaillées. Le signal qui prend désormais le relais pour l’identification des appareils est Client Hints (CH).

Cet article n’enseigne aucune méthode pour « contourner la détection ». Il se limite aux principes techniques et répond à trois questions : pourquoi le UA est-il gelé ? Que sont exactement les Client Hints et pourquoi sont-ils considérés comme des signaux d’empreinte à forte entropie ? Pourquoi la « cohérence de l’empreinte » est-elle le point clé ? Ces notions permettent de comprendre pourquoi la gestion moderne d’environnements de navigateur, notamment pour isoler plusieurs comptes, doit traiter les paramètres comme un ensemble cohérent plutôt que comme quelques champs indépendants.

1. Pourquoi la chaîne UA ne suffit-elle plus ?

Pendant longtemps, User-Agent a été la principale information utilisée par les sites pour identifier le navigateur et l’appareil. Il expose notamment la marque et la version du navigateur, le système d’exploitation et l’architecture de l’appareil. Mais les chaînes UA étaient trop longues et trop stables, ce qui les rendait utiles pour le fingerprinting. Chrome a donc annoncé clairement une réduction progressive du UA : conserver essentiellement la version majeure et déplacer les informations plus détaillées vers un nouveau mécanisme, Client Hints.

La conséquence directe du gel du UA est simple : falsifier uniquement le UA ne suffit plus. Les systèmes ne se fient plus à ce seul champ ; ils vérifient également si les autres données concordent avec lui. Les incohérences les plus visibles sont les paramètres contradictoires, par exemple :

• Le UA indique macOS 14, mais le champ de version de plateforme indique macOS 13 ;
• Le UA déclare un appareil mobile, mais l’indicateur mobile reste ?0 ;
• L’architecture matérielle indique arm64, alors que des valeurs comme navigator.hardwareConcurrency ressemblent davantage à du x86.

Dans un système d’identification des appareils, de telles contradictions peuvent rapidement suggérer que le profil ne correspond pas à un appareil réel. C’est pourquoi « changer seulement le UA » ne fonctionne plus dans l’ère du User-Agent gelé.

2. Que sont les Client Hints et pourquoi sont-ils des empreintes à forte entropie ?

Client Hints (CH) désigne un ensemble d’informations sur les capacités de l’appareil que le navigateur peut communiquer à la demande au serveur via les requêtes HTTP ou l’environnement JavaScript. Deux différences majeures les distinguent du UA :

1. Ils contiennent des champs à forte entropie (High Entropy Values). Une forte entropie signifie que la combinaison de ces données peut être très distinctive et difficile à deviner, par exemple la version précise de la plateforme, la liste complète des marques et versions ou l’architecture de l’appareil. Un vrai navigateur fournit ces valeurs à la demande plutôt que de tout transmettre systématiquement.

2. CH n’est pas évalué isolément, mais recoupé avec d’autres empreintes. Les systèmes réels d’identification vérifient souvent si CH est cohérent avec le UA, si CH et les empreintes de couche transport telles que TLS JA3/JA4 correspondent au même type de navigateur, si CH est cohérent avec les propriétés JavaScript comme navigator.platform, la concurrence et le ratio de pixels de l’appareil (DPR), et s’il correspond aux caractéristiques de la plateforme du système d’exploitation.

Cela mène à une idée essentielle : le plus difficile n’est pas de modifier un champ, mais de faire en sorte que tous les champs semblent provenir du même appareil réel. Presque n’importe quel champ peut être modifié isolément. Le vrai défi est de rendre cohérents la marque, la version de plateforme, le UA, le DPR, la mémoire, l’architecture, l’empreinte TLS et les autres signaux afin qu’ils forment un profil d’appareil plausible. C’est aussi pourquoi certaines solutions où « tous les champs sont remplis » restent faciles à repérer lorsqu’elles sont incohérentes.

3. Quelles sont les erreurs de cohérence d’empreinte les plus fréquentes ?

Une fois que l’on comprend que la cohérence est essentielle, il devient facile de voir pourquoi de nombreuses configurations échouent. Parmi les erreurs courantes :

• CH ne correspond pas au UA (le cas le plus fréquent) : le UA indique macOS 14.1, alors que CH renvoie une version de plateforme qui n’existe pas réellement ;
• UA mobile avec indicateur mobile ?0 : sur un véritable appareil mobile, cette valeur devrait normalement être ?1 ;
• Mauvaise dérivation de la liste des versions complètes : par exemple, la version majeure du navigateur est 120, mais les caractéristiques de version complète ressemblent à celles d’une ancienne version 115 ;
• DPR, mémoire ou autres valeurs incompatibles avec le type d’appareil réel : par exemple un appareil Apple avec un ratio de pixels anormalement bas, ou un PC Windows ordinaire indiquant seulement 1 Go de mémoire ;
• Différences propres au navigateur ignorées : par exemple imposer un champ à un navigateur qui ne le prend pas en charge, ou renvoyer sur un moteur une information que ce moteur n’exposerait jamais.

Ces contradictions sont très visibles dans les systèmes d’identification des appareils. Elles proviennent toutes du même problème : l’environnement n’est pas traité comme un ensemble cohérent.

4. Que signifie réellement une « configuration correcte » ?

Plutôt que de « remplir des champs », il vaut mieux parler de maintenir un profil d’environnement cohérent. Cela implique généralement de respecter plusieurs principes :

• Lier CH au UA : dériver les valeurs CH correspondantes — marque, plateforme et version — selon les règles réelles du moteur et de la version du navigateur, au lieu d’assembler des valeurs arbitraires ;
• Respecter la stratégie de retour des champs à forte entropie : fournir par défaut les informations à faible entropie, renvoyer les valeurs à forte entropie à la demande comme le ferait un vrai navigateur, et ne pas renvoyer de champs non pris en charge ;
• Assurer la cohérence entre les propriétés JS, les en-têtes HTTP et les caractéristiques système : le DPR doit correspondre à la résolution, la mémoire au type de plateforme, l’indicateur mobile au UA et l’architecture au reste du profil système ;
• Coordonner les empreintes de couche transport : des caractéristiques telles que TLS/JA3/JA4 doivent aussi correspondre à la version de navigateur déclarée.

En une phrase : la véritable difficulté consiste à faire de CH, du UA, de l’environnement JavaScript et des caractéristiques système un profil cohérent de comportement du navigateur, et non à multiplier le nombre de champs renseignés.

5. Quel rapport avec la gestion d’environnements multi-comptes ?

Les personnes qui travaillent dans l’e-commerce transfrontalier, la publicité sur les réseaux sociaux ou les boutiques indépendantes peuvent se demander quel est le lien avec la « création d’environnements de navigateur distincts pour différents comptes professionnels ». Le lien est direct : la gestion d’environnements suppose que chaque environnement soit cohérent en lui-même.

• Lorsqu’il y a beaucoup de comptes et de régions, il est plus efficace de laisser un outil générer automatiquement un ensemble de paramètres alignés selon le système et la version du moteur choisis, plutôt que de composer manuellement UA, système d’exploitation, résolution et autres valeurs pour chaque environnement au risque de créer des contradictions.
• Les comptes professionnels de régions et de plateformes différentes devraient disposer d’environnements indépendants dont les paramètres sont cohérents en interne, au lieu de partager les mêmes « paramètres modèles » et de finir par paraître anormalement similaires au niveau de l’appareil.
• Lorsqu’un proxy est changé pour une autre région, conserver une version système, un modèle d’appareil et d’autres caractéristiques logiquement cohérents avec l’environnement se rapproche davantage de l’usage d’un appareil réel que de « changer uniquement l’IP en laissant tous les autres paramètres inchangés ».

Ce sont précisément ces problèmes de cohérence que les outils de gestion d’environnements multi-comptes cherchent à résoudre. Lors de la création d’un environnement, PurpleMark propose une interface unifiée pour le système d’exploitation, la version du moteur Chromium, le User-Agent, la résolution, le fuseau horaire, la langue, le CPU/la mémoire, Canvas, WebGL, TLS et d’autres paramètres d’appareil et d’empreinte. Après avoir choisi une région et l’usage du compte, il est possible de générer l’environnement selon un schéma cohérent au lieu d’improviser les paramètres à chaque connexion. L’outil gère surtout la cohérence globale et la réutilisabilité du compte, de l’environnement du navigateur et de la configuration réseau dans un même espace de travail, et non la manière de tromper un mécanisme de détection donné.

6. Résumé

Le gel du UA marque une nouvelle étape du fingerprinting navigateur : ce qui compte n’est plus simplement la présence de certains champs, mais leur cohérence mutuelle. Avec Client Hints qui prend le relais du UA comme source de signaux à forte entropie, comprendre les relations entre CH, UA, caractéristiques système et empreintes de transport est plus important que mémoriser une longue liste de noms de champs.

Si vous gérez seulement quelques comptes professionnels réels et conformes, inutile de concentrer vos efforts sur la lutte contre les systèmes de détection. Il est plus pratique d’utiliser un outil de gestion d’environnements comme PurpleMark pour garder les paramètres de région, de système et de navigateur de chaque compte clairs, cohérents et réutilisables, et ainsi réduire à la source les problèmes causés par des réglages contradictoires.

(Remarque : cet article est uniquement une présentation pédagogique des principes techniques du fingerprinting navigateur. Respectez toujours les conditions d’utilisation de chaque plateforme et utilisez des comptes légitimes.)