Les sites web peuvent-ils vraiment lire votre adresse MAC ? La protection en trois couches, expliquée

Beaucoup de gens voient ce genre d'affirmation : « Ouvrez une page web et l'autre partie lit immédiatement votre adresse MAC, ce qui revient à exposer l'identité de votre appareil. » Dans la plupart des cas, cette affirmation est fausse. Une adresse MAC opère au niveau de la couche de liaison de données du réseau et n'est normalement visible que par le point d'accès Wi-Fi actuel, les appareils du même réseau local ou les observateurs du même réseau de couche 2. Contrairement à une IP publique, elle ne voyage pas avec une simple requête Internet jusqu'au site distant.

Le scénario qui mérite vraiment l'attention, c'est lorsqu'un appareil scanne et se connecte en boucle aux réseaux Wi-Fi dans les centres commerciaux, les aéroports, les hôtels ou les espaces de coworking. Utiliser longtemps la même adresse MAC matérielle fixe peut permettre à l'exploitant du réseau de relier vos activités entre elles. La mesure de confidentialité la plus directe consiste à activer les « adresses matérielles aléatoires » ou les « adresses Wi-Fi privées » dans le système d'exploitation. Mais soyons clairs : cela ne signifie pas naviguer anonymement, et cela ne remplace ni un proxy, ni un VPN, ni les paramètres de confidentialité du navigateur, ni la sécurité des comptes.

Ci-dessous, nous décomposons l'adresse MAC, l'adresse IP et l'empreinte du navigateur à travers le prisme d'une protection en trois couches : ce qu'un site web peut réellement lire, ce qui fuit vraiment, et sur quelle couche vous devez agir.

Couche 1 : Qu'est-ce qu'une adresse MAC et qui peut réellement la voir

MAC est l'abréviation de Media Access Control et identifie les interfaces réseau comme Ethernet et Wi-Fi, qui appartiennent à la famille IEEE 802. Le format courant est six groupes de caractères hexadécimaux, par exemple :

3A:7F:21:9C:08:B4

Les adresses MAC matérielles traditionnelles sont attribuées par les fabricants d'appareils ; la première partie reflète souvent l'autorité d'attribution ou le bloc du fabricant, tandis que le reste distingue l'interface. Les systèmes d'exploitation modernes peuvent aussi utiliser une « adresse administrée localement », c'est-à-dire une adresse aléatoire générée par le système, qui remplace l'adresse matérielle lors de la communication avec un réseau Wi-Fi.

Le RFC 9724 souligne que, lorsque les appareils Wi-Fi scannent activement les réseaux et envoient des trames de données après s'être connectés à un point d'accès, l'adresse MAC peut être visible par des observateurs capables de recevoir le signal sans fil ou situés sur le même réseau de couche 2. Une adresse fixe et unique au monde devient facilement une piste de suivi de l'appareil, c'est pourquoi les MAC aléatoires servent à réduire ce genre de corrélation.

Point clé : la MAC circule principalement au niveau de la liaison locale ; elle n'est pas directement exposée aux sites distants à travers l'Internet public.

Couche 2 : Un site web peut-il lire directement votre vraie MAC ?

Les sites web ordinaires : non

Les pages web ordinaires s'exécutent dans le bac à sable du navigateur, et il n'existe aucune API JavaScript standard capable de lire directement l'adresse MAC matérielle d'une carte réseau. Lorsque les paquets quittent votre routeur domestique ou d'entreprise et traversent Internet, l'en-tête de couche 2 est ré-encapsulé à chaque segment du réseau. Ce qu'un site distant voit habituellement, c'est l'IP de la requête, les informations que le navigateur fournit activement, les cookies et d'autres données de la couche application — pas l'adresse MAC de votre carte réseau.

Donc, si un « test de page web » prétend que votre MAC est exposée, commencez par déterminer ce qu'il affiche réellement :

• Il peut s'agir de données fournies par un logiciel installé sur votre machine ou par des extensions de navigateur ;
• Il peut s'agir d'informations de voisinage lues depuis une page de gestion du réseau local ;
• Il peut s'agir d'un nom d'appareil, d'une adresse IP ou d'une empreinte de navigateur étiquetés à tort comme une MAC ;
• Ou il peut simplement s'agir d'un résultat de démonstration généré à partir d'un préfixe de fabricant, sans jamais lire une vraie adresse matérielle.

Exceptions : logiciels locaux, réseaux locaux et environnements à privilèges élevés

Les applications locales, les outils d'administration système, les agents de point de terminaison d'entreprise et les applications mobiles disposant des autorisations appropriées peuvent accéder aux informations des interfaces réseau. Les routeurs, les points d'accès et les administrateurs réseau locaux ont aussi besoin de la MAC pour assurer la transmission normale, le contrôle d'admission et le dépannage.

La bonne conclusion n'est donc pas « la MAC ne fuit jamais », mais plutôt : elle est surtout exposée sur la liaison locale et dans les environnements d'appareils privilégiés, et les sites distants ordinaires ne peuvent normalement pas lire directement votre vraie MAC matérielle.

Couche 3 : MAC, IP et empreinte de navigateur — ne mettez pas tout dans le même panier

La clé du modèle en trois couches, c'est de savoir à qui chaque couche expose des données et quel outil gère chacune :

Information	Couche principale concernée	Qui peut normalement la voir	Mesures de confidentialité courantes
Adresse MAC	Liaison locale, Wi-Fi/Ethernet	Points d'accès, appareils du même LAN, outils système	MAC aléatoire/privée
IP privée	Réseau local	Routeur, services LAN ; certains scénarios WebRTC peuvent exposer davantage	Politique WebRTC du navigateur, isolation du réseau
IP publique	Communication Internet	Sites web, sortie proxy/VPN, fournisseur d'accès	Proxy ou VPN conforme
Empreinte de navigateur	Couche application	Scripts du site web	Réduire les paramètres inhabituels, séparer les environnements, contrôler les autorisations

Beaucoup de rumeurs de « fuite MAC » viennent en réalité d'une confusion entre l'empreinte de navigateur et la MAC. WebRTC collecte des adresses candidates ICE pour l'audio/vidéo en temps réel et les communications pair à pair. Les considérations de sécurité WebRTC du RFC 8826 traitent de la confidentialité de l'adresse IP et de la localisation : un site web ou un pair de communication peut en apprendre davantage sur votre environnement réseau que via une requête HTTP ordinaire. Ce qui est exposé ici, ce sont des candidats IP, pas la MAC de votre carte réseau.

Un proxy ou un VPN modifie surtout l'IP de sortie publique que voient les sites web ; il ne change pas automatiquement la MAC que votre appareil utilise pour se connecter au Wi-Fi local. Pour réduire le suivi de l'appareil au niveau Wi-Fi, configurez une MAC aléatoire dans le système d'exploitation. Pour gérer votre sortie publique, vérifiez votre proxy ou votre VPN. Pour éviter de mélanger les environnements de navigateur, vous devez gérer les cookies, la langue, le fuseau horaire, WebRTC et les autres paramètres du navigateur.

En pratique : activer une MAC aléatoire ou privée au niveau du système

Une formulation plus précise que « masquer » : cesser de présenter la même adresse matérielle à chaque réseau Wi-Fi et utiliser à la place une adresse privée générée par le système. Les noms des options et les stratégies de changement varient selon les systèmes.

Windows : activer les adresses matérielles aléatoires

Le guide Wi-Fi de Windows de Microsoft explique que, si votre carte sans fil le prend en charge, vous pouvez activer les adresses matérielles aléatoires pour tous les réseaux Wi-Fi ou pour des réseaux spécifiques. Le chemin habituel :

1. Ouvrir « Paramètres » ;
2. Aller dans « Réseau et Internet » → « Wi-Fi » ;
3. Activer « Adresses matérielles aléatoires » pour tous les réseaux ;
4. Ou aller dans « Gérer les réseaux connus », sélectionner un Wi-Fi précis et l'activer individuellement.

Les libellés peuvent varier légèrement selon la version de Windows et le pilote de la carte réseau. Si vous ne voyez pas l'option, mettez d'abord à jour le système et le pilote de la carte sans fil, et vérifiez que le matériel la prend en charge.

iPhone, iPad et Mac : utiliser les adresses Wi-Fi privées

La documentation sur la confidentialité Wi-Fi d'Apple indique que les appareils Apple peuvent utiliser une adresse Wi-Fi MAC unique et aléatoire par réseau ; les systèmes plus récents proposent aussi des modes Désactivé, Fixe et Rotation :

• Désactivé : utilise l'adresse Wi-Fi matérielle ;
• Fixe : utilise une adresse privée fixe pour le réseau actuel, ce qui réduit la corrélation entre réseaux ;
• Rotation : change périodiquement l'adresse privée pour réduire davantage la corrélation à long terme.

Sur un iPhone ou un iPad, allez dans « Réglages » → « Wi-Fi », touchez le bouton d'informations à côté du réseau, puis consultez « Adresse Wi-Fi privée ». Sur un Mac, allez dans « Réglages Système » → « Wi-Fi » → « Détails » du réseau actuel et choisissez le mode souhaité.

Android : vérifier que la MAC aléatoire est activée

Selon la documentation sur la randomisation MAC du projet Android Open Source, la randomisation MAC est activée par défaut en mode client depuis Android 10, mais l'interface exacte varie selon le fabricant du téléphone et la version du système. Le chemin habituel :

1. Ouvrir « Réglages » → « Réseau et Internet » ou « WLAN » ;
2. Ouvrir la page de détails du réseau Wi-Fi connecté ;
3. Chercher « Confidentialité », « Type d'adresse MAC » ou une option similaire ;
4. Choisir « Utiliser une MAC aléatoire » au lieu de « Utiliser la MAC de l'appareil ».

Si votre Wi-Fi d'entreprise utilise une liste blanche MAC, une attribution d'adresses fixes ou un système d'admission, vous pourriez ne pas pouvoir vous connecter après le changement. Dans ce cas, contactez l'administrateur réseau pour enregistrer votre adresse privée plutôt que de changer sans cesse sans comprendre les conséquences.

Pourquoi vous pouvez encore être corrélé même avec une MAC aléatoire activée

La MAC aléatoire ne traite qu'une couche d'identité. Le RFC 9724 rappelle aussi que les identifiants de client DHCP, les identifiants de protocoles de couches supérieures et d'autres caractéristiques stables peuvent encore être corrélés. Dans la réalité, cela inclut aussi :

• Utiliser le même compte de plateforme ou la même adresse e-mail de récupération ;
• Des cookies, un LocalStorage et des sessions de connexion non nettoyés ;
• Une IP publique stable sur le long terme ;
• Une combinaison stable de nom d'appareil, fuseau horaire, langue et version du navigateur ;
• Des extensions, polices, caractéristiques Canvas ou WebGL identiques ;
• Des horaires d'activité, des ordres de manipulation et des informations de paiement fixes.

La MAC aléatoire est donc une mesure de confidentialité pour le Wi-Fi public, pas un moyen de « changer d'adresse et devenir totalement invisible ». Pour les équipes qui gèrent plusieurs comptes autorisés, l'essentiel est de maintenir une isolation cohérente entre la couche réseau, la couche environnement navigateur et la couche comportement du compte — pas seulement d'actionner un interrupteur quelque part.

La couche environnement navigateur : stratégies d'isolation pour les opérations multi-comptes

Si vous êtes un simple particulier qui se connecte de temps en temps à un Wi-Fi public, la MAC aléatoire du système suffit. Mais lorsque vous devez maintenir plusieurs comptes professionnels autorisés et des environnements pour différentes régions, le problème passe de « la MAC d'un seul appareil » à « l'isolation d'environnement entre comptes ».

PurpleMark est un outil de gestion d'environnements de navigateur. Dans son espace de travail web, vous pouvez créer des environnements de navigateur indépendants pour différents comptes professionnels et configurer pour chacun le proxy, les cookies, le système d'exploitation, la langue, le fuseau horaire, la géolocalisation, WebRTC, le nom d'appareil et l'adresse MAC. Sa valeur ne réside pas dans la modification d'un paramètre isolé, mais dans le fait de réunir « compte, environnement de navigateur, configuration réseau et responsabilités d'équipe » dans un même espace de travail pour une gestion unifiée, réduisant des problèmes comme ouvrir un compte dans le mauvais environnement, mélanger cookies et données locales, ou avoir des informations de proxy dispersées.

Précision importante : la MAC dans PurpleMark est un élément de configuration de l'environnement de navigateur. Elle ne modifie pas l'adresse matérielle que la carte réseau Windows, macOS, iOS ou Android utilise réellement pour se connecter au Wi-Fi, et elle ne remplace pas la fonctionnalité d'adresse Wi-Fi privée du système. Elle agit sur une couche différente de la MAC aléatoire système.

Étapes de configuration recommandées

1. Ouvrir la version web de PurpleMark et créer un environnement ;
2. Renseigner le nom de l'environnement, le groupe et le compte lié ;
3. Choisir un proxy selon vos besoins métier réels et vérifier l'IP de sortie ;
4. Définir dans les paramètres d'empreinte le système d'exploitation, la langue, le fuseau horaire, la géolocalisation et WebRTC ;
5. Vérifier la configuration du nom d'appareil et de l'adresse MAC, sans la changer fréquemment au hasard pour le même compte ;
6. Consulter l'aperçu de l'environnement avant création et confirmer qu'il n'y a pas de contradiction évidente entre les paramètres ;
7. Après création, toujours accéder au compte professionnel correspondant depuis cet environnement pour réduire le mélange de cookies et de configurations.

Plus de paramètres ne signifie pas plus de sécurité. Par exemple, si un proxy affiche une région alors que le fuseau horaire et la langue pointent vers une région totalement indépendante, ou si les paramètres d'appareil changent au hasard à chaque ouverture du même compte, cela crée de l'instabilité. Le meilleur principe : correspondre au métier réel, rester cohérent en interne et rester réutilisable sur le long terme.

Quelles méthodes de « masquage MAC » ne sont pas fiables

1. Se contenter de vider les cookies du navigateur

Vider les cookies affecte les sessions des sites, mais ne change pas la MAC que votre carte réseau utilise pour se connecter au Wi-Fi. Les deux mesures répondent à des problèmes de couches différentes.

2. Se contenter du mode navigation privée

Le mode navigation privée réduit surtout l'historique et certaines données de sites conservés localement par le navigateur. Il n'empêche pas le routeur de voir la MAC et ne masque pas automatiquement votre IP publique.

3. Croire qu'un VPN modifie la MAC locale

Un VPN établit un tunnel réseau. L'IP de sortie que voient les sites peut changer, mais votre appareil doit d'abord communiquer avec le réseau local via Wi-Fi ou Ethernet, et le point d'accès local a toujours besoin d'une adresse de couche 2.

4. Utiliser n'importe quel outil de modification de MAC

Les outils tiers peuvent exiger des privilèges administrateur et comportent des risques d'incompatibilité de pilotes, de logiciels malveillants et d'interruption réseau. Les systèmes modernes offrent déjà des fonctions de randomisation officielles ; privilégiez donc les paramètres système. Pour les appareils d'entreprise, respectez la politique de l'administrateur.

5. Considérer la randomisation MAC comme un outil de contournement de plateforme

La MAC aléatoire est conçue pour réduire le suivi sur le réseau local, pas pour contourner les règles des plateformes ni échapper au contrôle des risques. Les plateformes distantes évaluent toujours l'activité à partir de nombreux signaux : comptes, IP, cookies, appareils et comportement.

Liste de contrôle avant d'utiliser une MAC aléatoire

• Vérifier que l'appareil et la carte sans fil prennent en charge les adresses aléatoires ou privées ;
• Sur un Wi-Fi public, privilégier le maintien de l'adresse aléatoire activée ;
• En cas de liste blanche sur un réseau d'entreprise, consulter d'abord l'administrateur ;
• Après le changement, vérifier que le Wi-Fi, l'imprimante, le NAS et les services du réseau interne fonctionnent ;
• Ne pas confondre la MAC avec l'IP publique, WebRTC ou l'empreinte de navigateur ;
• En opération multi-comptes, garder les paramètres d'environnement PurpleMark raisonnablement cohérents avec le proxy, la région, la langue et le fuseau horaire ;
• Ne pas changer fréquemment la configuration d'environnement des comptes utilisés sur le long terme ;
• Ne pas installer de « masqueur de MAC » d'origine inconnue.

Questions fréquentes

Une adresse MAC peut-elle me localiser avec précision ?

Une adresse MAC n'est pas une coordonnée GPS. Si l'infrastructure Wi-Fi environnante ou un observateur enregistre sur le long terme les moments où une adresse fixe apparaît à différents points d'accès, il peut en déduire la zone d'activité de l'appareil. Les adresses aléatoires sont précisément conçues pour réduire cette corrélation à long terme.

Si je change la MAC, mon IP publique change-t-elle aussi ?

Non. L'IP publique est généralement déterminée par le fournisseur d'accès, le routeur, le proxy ou le VPN. La MAC est un identifiant de liaison locale ; les deux se situent à des couches réseau différentes.

Activer une MAC aléatoire affecte-t-il la vitesse de connexion ?

Normalement, cela n'affecte pas directement la vitesse, mais cela peut toucher l'admission réseau, les réservations IP, le contrôle parental ou la reconnaissance des appareils d'entreprise qui reposent sur une MAC fixe. Si vous ne pouvez pas vous connecter, vérifiez la politique réseau plutôt que de changer sans cesse au hasard.

Après avoir défini une MAC dans PurpleMark, l'adresse vue par le routeur change-t-elle ?

Ce n'est pas comme cela qu'il faut le comprendre. La MAC dans PurpleMark est un élément de configuration de l'environnement de navigateur ; la MAC Wi-Fi ou Ethernet que voit le routeur est contrôlée par le système d'exploitation et la carte réseau. Pour changer celle-ci, utilisez des fonctions système comme les adresses matérielles aléatoires de Windows, les adresses Wi-Fi privées d'Apple ou la MAC aléatoire d'Android.

Résumé

Une adresse MAC peut effectivement devenir une piste de suivi d'appareil sur les réseaux locaux, mais « visiter n'importe quelle page web fait fuir votre vraie MAC » est généralement une idée fausse. L'étape la plus efficace est d'activer les adresses matérielles aléatoires ou les adresses Wi-Fi privées dans le système d'exploitation. Sachez en même temps que cela ne réduit que la corrélation au niveau Wi-Fi : cela ne peut pas masquer votre IP publique ni éliminer les autres indices laissés par les cookies, l'empreinte de navigateur et le comportement des comptes.

Lorsque le problème passe d'« un seul appareil » à « plusieurs comptes professionnels autorisés », la MAC aléatoire du système ne suffit plus. Vous pouvez utiliser PurpleMark pour créer un environnement de navigateur indépendant pour chaque compte, configurer de manière centralisée proxy, cookies, WebRTC, langue, fuseau horaire et paramètres d'appareil, et combiner la MAC aléatoire système avec une gestion d'environnement rigoureuse. Ensemble, cela constitue une solution de confidentialité et d'isolation plus complète et plus maintenable.