Empreinte multi-navigateur : portée de la corrélation

Deux profils de navigateur peuvent sembler atypiques dans un jeu de données sans pour autant appartenir au même appareil. L’expression « empreinte multi-navigateur » sert souvent d’étiquette imprécise pour trois questions différentes : combien d’enregistrements sont uniques dans un échantillon, avec quelle régularité un même navigateur apparaît au fil du temps, et si des observations issues d’applications de navigation distinctes peuvent être associées. La dernière question exige sa propre méthode et ses propres contrôles ; les deux premières n’y répondent pas à elles seules.

BotBrowser documente la portabilité de profils entre les systèmes hôtes pris en charge ainsi que la séparation des surfaces entre contextes de navigateur. Ce sont des périmètres de configuration, pas l’affirmation que des produits de navigation sans lien peuvent être associés au même appareil physique. Une évaluation de la vie privée utile rend ces limites visibles, consigne séparément les signaux autres que l’empreinte et ne formule une association qu’au niveau réellement étayé.

TL;DR

• L’unicité concerne un jeu de données et une population de candidats définis. Un enregistrement rare ou unique ne désigne pas automatiquement une personne et ne constitue pas un rapprochement entre navigateurs.
• La stabilité temporelle demande si des observations répétées d’un navigateur restent similaires durant un intervalle donné. Elle ne montre pas qu’un autre navigateur du même appareil représente la même entité.
• La corrélation multi-navigateur demande si des observations de différentes applications peuvent être associées dans des conditions de collecte précises. La réponse dépend des signaux, des paires de navigateurs, de la période, de l’échantillon et des facteurs parasites.
• Une étude NDSS de 2017 rapporte séparément l’unicité sur un navigateur, l’unicité multi-navigateur et la stabilité multi-navigateur pour ses données et sa méthode. Ce sont des résultats historiques, pas une précision actuelle pour une paire de navigateurs.
• Une IP, un compte, des cookies, la synchronisation, un état local partagé et la taille du groupe de candidats doivent être consignés à part. Ils peuvent expliquer une association sans que l’empreinte seule en soit la preuve.

Sommaire

• Trois mesures répondent à trois questions différentes
• Ce que l’étude de 2017 a mesuré
• Une affirmation multi-navigateur exige un protocole de comparaison
• Signaux partagés et preuves liées à l’empreinte
• Niveaux de preuve d’une association
• Les limites des normes et de la documentation produit
• Conclusion pratique

Trois mesures répondent à trois questions différentes

Le mot « empreinte » recouvre souvent un ensemble de propriétés observables du navigateur. Une étude peut combiner les dimensions de l’écran, la langue, le comportement des polices disponibles, le rendu graphique ou d’autres valeurs dans un enregistrement. Les articles et produits choisissent des signaux, des normalisations et des règles de rapprochement différents. Un résultat n’est comparable qu’une fois l’opération et le dénominateur précisés.

Mesure	Question	Dénominateur ou comparaison	Ce que cela n’établit pas
Unicité dans l’échantillon	Combien d’enregistrements diffèrent des autres dans cet échantillon ?	Enregistrements d’une collecte définie, selon une normalisation donnée	Identité d’une personne, persistance ou lien entre navigateurs
Stabilité temporelle	À quel point les observations répétées d’un navigateur restent-elles similaires ?	Observations appariées du même navigateur sur une période indiquée	Qu’une autre application de navigation appartienne à la même personne
Corrélation multi-navigateur	Les observations d’applications distinctes peuvent-elles être associées selon les règles de l’étude ?	Paires entre navigateurs ou paires connues d’un même participant	Précision universelle, identité physique ou décision d’un service réel

L’unicité est une propriété du jeu de données et de la représentation choisie. Si chaque ligne diffère après une normalisation donnée, chaque ligne est unique dans cette collection. Ajouter une population, supprimer un champ, arrondir une valeur ou représenter autrement les données manquantes peut modifier le résultat. L’unicité ne dit pas qui a produit une ligne, si le même navigateur la produira de nouveau la semaine suivante, ni si un second navigateur peut y être relié.

La stabilité temporelle a une autre unité : des observations répétées associées au même navigateur à différents moments. Une valeur stable peut distinguer un enregistrement dans une expérience, mais cette persistance peut être brève ou conditionnelle. Mises à jour, paramètres de confidentialité, changements d’écran, réinitialisations de profil, réseau ou méthode de collecte peuvent modifier l’enregistrement observé. La mesure doit donc préciser une période et ce qui est resté constant.

La corrélation multi-navigateur nécessite des observations d’applications distinctes et une règle définissant les paires considérées comme correspondantes. Une étude peut disposer d’étiquettes fournies par des participants consentants, utiliser un seuil de similarité défini à l’avance ou estimer des associations candidates. Chaque protocole a un sens différent. Une paire partageant une langue générale n’équivaut pas à une paire reliée par un ensemble plus large de signaux, et une correspondance de recherche ne prouve pas qu’un service tiers utilise la même méthode.

L’aperçu des empreintes de navigateur explique comment un enregistrement peut combiner plusieurs surfaces. Cela ne rend pas les trois dénominateurs interchangeables. Un rapport doit nommer la mesure avant d’employer « unique », « stable » ou « associé ».

Ce que l’étude de 2017 a mesuré

L’article NDSS Cross-Browser Fingerprinting via OS and Hardware Level Features est utile parce qu’il sépare les mesures sur un navigateur de celles entre navigateurs. Son résumé décrit 3615 empreintes recueillies auprès de 1903 participants à une plateforme de tâches participatives sur trois mois. Les auteurs comparent leur méthode à des travaux précédents et rapportent des résultats pour cette population. L’échantillon et la période font partie du résultat, ils ne sont pas de simples métadonnées.

Le tableau II distingue les colonnes « Single-browser » et « Cross-browser ». Pour leur méthode, les auteurs donnent 99.24% d’unicité sur un navigateur, 83.24% d’unicité multi-navigateur et 91.44% de stabilité multi-navigateur. Ces valeurs ne sont pas trois versions d’un même score de précision. La première décrit des empreintes uniques dans la comparaison sur un navigateur. La deuxième rend compte de la distinction entre participants à travers les navigateurs selon la méthode de l’étude. La stabilité est une mesure distincte : la part des empreintes restant stables entre navigateurs selon la définition de l’article.

Le tableau pose lui-même une limite importante : les auteurs indiquent ne pas publier la valeur sur un navigateur pour une méthode comparée, ni la valeur multi-navigateur pour une autre, car ces résultats étaient très faibles et les méthodes n’étaient pas conçues pour ces usages. Les chiffres dépendent du choix des signaux, de la définition des paires, d’un ensemble précis de navigateurs et des participants recueillis. Ils ne prédisent pas les performances attendues d’une paire de navigateurs actuelle.

L’échantillon provenait de tâches participatives. L’article précise que les cookies activés comptaient, car les participants devaient se connecter au service de tâches. Cette condition influence les personnes présentes dans l’échantillon et les observations disponibles. Le contexte de recherche comprenait aussi un compte et des cookies durant la collecte. Il ne faut donc pas reformuler les mesures d’empreinte comme la preuve que l’empreinte seule a produit toute association dans tous les contextes réels.

Le comportement des navigateurs et leur écosystème ont évolué depuis l’étude. Versions, systèmes, piles graphiques, disponibilité des polices, protections de la vie privée et pratiques de collecte changent. Un résultat historique reste utile pour comprendre une méthode et son protocole d’évaluation ; il ne se met pas à jour lorsque ces conditions changent. La recherche Google de 2024 sur les risques d’empreinte web étudie l’entropie et les risques dans des observations de Chrome, mais ne valide pas entre produits les résultats de paires de navigateurs de 2017.

Lorsqu’une valeur historique est citée, garde quatre éléments à proximité : l’année de publication, la population collectée, la définition de la mesure et le périmètre de comparaison. Si une source secondaire omet l’un de ces éléments, il ne faut pas présenter le pourcentage comme une attente opérationnelle. Une paraphrase prudente dit « les auteurs ont rapporté ce résultat sur cet échantillon », et non « l’empreinte multi-navigateur identifie les personnes avec cette précision ».

Une affirmation multi-navigateur exige un protocole de comparaison

Une évaluation défendable commence par une question réfutable. Par exemple : « Dans les conditions de collecte indiquées, cet ensemble de signaux associe-t-il les observations répétées des navigateurs A et B au-delà de la référence prédéfinie ? » Cette formulation est plus étroite que « Ces navigateurs détectent-ils le même appareil ? ». Elle nomme la paire, la collecte et la comparaison, tout en permettant un résultat négatif ou non concluant. Le guide des empreintes d’écran et de fenêtre montre comment borner une surface avant la comparaison de plusieurs applications.

L’unité de collecte doit être explicite. Précise si chaque observation correspond à un chargement de page, une session ou un groupe limité dans le temps ; indique si l’application et la version sont connues, et si le participant ou le responsable du test a fourni les étiquettes. Une ligne sans étiquette d’appariement fiable ne prouve pas un lien multi-navigateur parce que deux valeurs se ressemblent. Des observations prises dans des contextes différents peuvent aussi varier pour des raisons étrangères au matériel sous-jacent.

Avant d’examiner les résultats, définis ce qui constitue une paire candidate et la référence de comparaison. Si un enregistrement est comparé à deux candidats possibles, l’interprétation d’une correspondance diffère d’une comparaison avec 20000 candidats. Un algorithme du plus proche voisin peut toujours désigner le candidat le plus proche d’un groupe alors que tous sont de mauvais rapprochements. Rapporte la taille et la construction du groupe, la règle de similarité et le traitement des ex æquo ou des valeurs manquantes.

Élément du protocole	À consigner avant l’interprétation	Pourquoi cela modifie le résultat
Paire de navigateurs	Famille de produits, versions, condition du profil et ordre d’observation	Un résultat sur une paire ne se généralise pas à toutes
Intervalle	Temps écoulé et présence de mises à jour ou de réinitialisations	Une comparaison sur quelques minutes n’est pas celle de plusieurs mois
Ensemble de signaux	Surfaces disponibles, omises, arrondies ou normalisées	Changer la collecte modifie la règle et les absences
Groupe de candidats	Taille, origine, critères d’inclusion et étiquettes connues	La probabilité d’un candidat fortuit dépend du groupe
Règle de décision	Mesure de similarité, limite préétablie, ex æquo et référence	Ajuster la règle après observation peut exagérer le succès
Facteurs parasites	IP, compte, cookies, synchronisation, état local et contexte	Un signal partagé peut créer un lien qui n’est pas dû à la seule empreinte

Sépare les choix de développement de l’évaluation. Si une règle est ajustée sur les mêmes paires que celles utilisées pour annoncer un succès, la valeur peut refléter cet ajustement plutôt qu’une généralisation à de nouvelles observations. Un protocole solide réserve des participants, appareils ou périodes selon la question. Le rapport doit dire quelle unité a été réservée ; « validation croisée » sans préciser l’unité de séparation ne permet pas d’évaluer les fuites entre observations d’une même personne.

Ne transforme pas les états inconnus en correspondance ou en différence. Une valeur absente peut signifier qu’une API était indisponible, qu’un champ n’a pas été collecté, qu’une règle en a bloqué l’accès ou qu’une erreur est survenue. Si la normalisation convertit chaque absence en un même jeton, des enregistrements sans rapport peuvent sembler proches. Conserve au moins « présent », « non collecté », « indisponible » et « erreur » lorsque la méthode permet de les distinguer.

Pour une revue de confidentialité, une grille peut utiliser une ligne par comparaison tout en gardant une conclusion limitée :

Champ	Exemple d’entrée limitée
Comparaison	Navigateurs A et B ; versions et période consignées
Collecte	Même tâche et mêmes pages déclarées ; aucune affirmation sur d’autres sites
Base d’appariement	Étiquette fournie par les participants ou explicitement inconnue
Groupe candidat	Nombre d’enregistrements admissibles et mode de sélection
Entrées	Noms des signaux et états manquants, sans valeurs brutes inutiles
Facteurs parasites	Réseau, compte, cookies, synchronisation ou état local partagé consignés séparément
Résultat	Similaire, différent ou non concluant selon la règle prédéfinie
Limite	Association dans ces conditions ; ni identité ni précision universelle

Cette grille est un format de compte rendu, pas une expérience. Elle distingue les éléments disponibles de ceux qui seraient nécessaires. Si l’étiquette d’appariement est inconnue, la bonne sortie peut être « non résolu », même si l’enregistrement semble distinctif.

Signaux partagés et preuves liées à l’empreinte

L’aperçu des empreintes de navigateur décrit les surfaces observables générales ; il ne répond pas à lui seul à la question distincte d’une association entre applications de navigation. Conserve ipShared, accountShared, cookieState, syncState et localStateShared comme facteurs distincts, afin de ne pas attribuer un signal partagé à l’empreinte.

Le guide des résultats EFF Cover Your Tracks aide à distinguer le libellé d’un rapport du mécanisme qu’il mesure. Le guide des empreintes d’écran et de fenêtre précise une surface navigateur particulière, ce qui évite de la confondre avec une comparaison entre applications.

Des observations de navigateurs différents peuvent partager beaucoup d’éléments autres que les propriétés exposées par le navigateur. Une adresse IP publique peut être commune à un foyer, un bureau, un opérateur mobile ou une sortie VPN. Deux sessions peuvent utiliser le même compte si une personne s’est connectée. Les cookies peuvent être synchronisés par un compte de navigateur, partagés par un profil ou déposés par un service. Des services du système peuvent aussi partager de l’état entre applications. Ces signaux peuvent participer à une association globale, mais ne constituent pas une preuve liée à l’empreinte seule.

Cette distinction compte dans les audits de confidentialité et les analyses d’incident. Deux applications peuvent accéder à un service depuis le même réseau et avec le même compte authentifié. Le service peut associer les visites par le compte ou le réseau sans utiliser d’empreinte. Appeler ce résultat « empreinte multi-navigateur » masque le mécanisme réel et peut surestimer la contribution de l’empreinte.

Consigne chaque canal à part. Une analyse utile étiquette une correspondance « même compte », « mêmes cookies ou état synchronisé », « réseau partagé », « état local partagé », « similarité des surfaces du navigateur » ou « inconnu », si les éléments l’étayent. Ne rassemble pas tous les canaux dans un score unique pour ensuite attribuer le total à une empreinte. Si les données brutes de réseau ou de compte ne sont pas nécessaires à l’évaluation autorisée, évite de les collecter ; un indicateur grossier de facteur parasite peut suffire à éviter une fausse attribution causale.

La synchronisation exige une attention particulière. Elle peut transférer des paramètres ou d’autres éléments d’état entre des navigateurs associés à un compte, mais les produits diffèrent dans ce qu’ils synchronisent et à quel moment. Une valeur partagée après synchronisation ne peut pas être automatiquement attribuée à une empreinte passive. Il faut d’abord établir la provenance et le parcours de la valeur. De même, « même appareil » est souvent une hypothèse inscrite dans l’étiquette d’un jeu de données plutôt qu’une observation physique directe.

Le guide des profils multiplateformes porte sur le transfert d’un profil BotBrowser déclaré entre des systèmes hôtes compatibles. Cette relation de profil contrôlée ne prouve pas que des navigateurs grand public sans lien partagent une identité d’appareil. Distinguer « portabilité de profil » et « corrélation multi-navigateur » empêche de prendre un exemple de configuration pour un résultat de suivi.

Niveaux de preuve d’une association

Un registre d’audit peut conserver séparément pairingLabel, candidatePoolSize et matchRule, puis indiquer si une paire respecte cette règle. À titre historique, l’étude NDSS de 2017 a utilisé 3615 empreintes de 1903 participants sur trois mois ; cet échantillon n’établit pas une précision actuelle.

Un résultat d’association dépend des données, du groupe de candidats et de la règle utilisée. Il peut étayer une phrase telle que « ces enregistrements étaient plus proches que la limite déclarée dans cet échantillon ». À lui seul, il ne permet pas d’affirmer « il s’agit de la même personne », « le matériel est identique » ou « un site rejettera le navigateur ». Chaque affirmation plus forte exige d’autres éléments ; un résultat propre à un service requiert l’observation directe de ce service dans des conditions contrôlées et autorisées.

Le vocabulaire doit conserver cette échelle d’inférence. « Enregistrements similaires » décrit des valeurs. « Associés selon cette méthode » décrit une sortie d’analyse. « Même participant » est une étiquette établie par le processus d’appariement de l’étude. « Même appareil » est une affirmation physique plus forte qui peut nécessiter une validation indépendante. « Même personne » est encore plus forte et ne doit pas être déduite des propriétés du navigateur. Rapporte le niveau le plus fort étayé, pas celui qui semble le plus utile.

Une revue de confidentialité doit également demander si la corrélation est nécessaire pour répondre à la question annoncée. Des enregistrements riches en signaux peuvent être sensibles même sans nom associé. Garde le minimum de champs, limite les accès, définis une durée de suppression et privilégie les résultats agrégés lorsque c’est possible. Décrire une technique dans une source n’autorise pas son déploiement contre des personnes. Les recommandations du W3C traitent la corrélation comme un risque de vie privée et décrivent des modèles de menace ; elles ne donnent pas une mesure universelle pour chaque paire de navigateurs.

Laisse visible un résultat non concluant. Une différence peut provenir de champs absents ou d’un navigateur modifié, et non de deux appareils distincts. Une correspondance peut résulter d’une configuration commune ou d’un signal partagé autre que l’empreinte. « Non concluant dans les conditions indiquées » est un résultat technique utile : il limite les affirmations possibles et ce qu’une évaluation ultérieure devrait mesurer.

Les limites des normes et de la documentation produit

BotBrowser documente deux périmètres contrôlés : la portabilité des profils déclarés entre systèmes hôtes pris en charge et la séparation des contextes d’une même instance. Cela ne garantit pas l’association de navigateurs indépendants ni l’identité physique d’un appareil.

Les recommandations du W3C décrivent l’empreinte et les risques de confidentialité susceptibles d’apparaître lorsque des observations sont corrélées entre contextes. Elles évoquent une possibilité dans certains modèles de menace : la corrélation d’événements transitoires peut relier des applications de navigation différentes, tout en précisant que ce n’est généralement pas une préoccupation. Ce passage n’affirme pas que les sites ordinaires relient souvent des navigateurs sans lien et ne mesure aucun taux de réussite. C’est une limite pour l’analyse de risque, pas un résultat à généraliser hors de ses conditions.

Les deux pages BotBrowser pertinentes décrivent des périmètres différents. Profils multiplateformes explique le déplacement d’un profil déclaré entre les systèmes hôtes pris en charge et la cohérence documentée des surfaces. Empreinte par contexte décrit la séparation entre contextes d’une même instance de navigateur. Aucune page ne détermine si Firefox, Safari, Chrome ou une autre application indépendante du même appareil physique peut être associée par un tiers.

Ces distinctions délimitent aussi ce qu’un test autorisé peut établir avec BotBrowser. Les contrôles documentés peuvent aider à configurer un profil déclaré et à inspecter le comportement de contextes pris en charge. Ils ne prouvent pas qu’un service externe utilise une règle de rapprochement donnée, que deux produits partagent un identifiant d’appareil, ou qu’une personne peut être identifiée à partir d’un enregistrement. Aucune comparaison d’exécution multi-navigateur n’est revendiquée ici.

FAQ

Une empreinte unique identifie-t-elle une personne ?

Non. L’unicité signifie qu’un enregistrement diffère des autres dans un échantillon et selon une normalisation donnés. Un lien justifié avec une personne est une opération distincte ; le pourcentage ne l’établit pas.

Une empreinte stable dans un navigateur relie-t-elle un autre navigateur ?

Non. La stabilité concerne les observations répétées d’un navigateur. La corrélation multi-navigateur exige une comparaison entre applications distinctes, avec une paire, une règle, un groupe candidat et une analyse des facteurs parasites explicites.

99.24% est-il un taux actuel de précision multi-navigateur ?

Non. Dans l’article NDSS de 2017, 99.24% est l’unicité sur un navigateur pour les données recueillies par les auteurs. L’article rapporte séparément 83.24% d’unicité multi-navigateur et 91.44% de stabilité multi-navigateur avec sa méthode et son échantillon.

Une IP partagée prouve-t-elle une correspondance d’empreinte ?

Non. Une IP partagée est un signal de contexte réseau qui peut concerner de nombreux appareils. Elle doit être documentée séparément des surfaces du navigateur ; elle ne prouve ni un appareil ni une personne communs.

Les contrôles de profil BotBrowser testent-ils différents navigateurs sur un appareil ?

La documentation citée porte sur la portabilité des profils entre systèmes hôtes pris en charge et sur la séparation par contexte dans une instance. Elle ne revendique pas de test de corrélation physique entre produits.

Sources

• W3C : Mitigating Browser Fingerprinting in Web Specifications
• Cao et al., NDSS 2017 : Cross-Browser Fingerprinting via OS and Hardware Level Features
• Discussion FingerprintJS 687 : périmètre de la corrélation multi-navigateur
• Google Research : Assessing Web Fingerprinting Risk (2024)
• BotBrowser : profils multiplateformes
• BotBrowser : empreinte par contexte

Conclusion pratique

Nomme la mesure avant d’interpréter un enregistrement de navigateur. Sépare l’unicité de l’échantillon, la stabilité du même navigateur et l’association multi-navigateur ; rattache les chiffres historiques à l’étude qui les a produits ; et consigne compte, réseau, cookies, synchronisation et état partagé en dehors des éléments liés à l’empreinte. La prochaine étape prudente consiste à définir la population comparée et la règle de décision avant toute collecte, puis à ne rapporter que le résultat limité étayé par ces conditions.