Fingerprinting par canvas expliqué : le traqueur invisible sans cookies

Comment un dessin caché devient un identifiant

L'API canvas permet aux sites de dessiner des graphiques dans votre navigateur. Un script de fingerprinting dessine du texte et des formes cachés puis relit les pixels exacts. Votre GPU, vos pilotes, vos polices et votre système d'exploitation modifient le rendu à des fractions de pixel près — et la combinaison est souvent unique à votre appareil.

Contrairement aux cookies, il n'y a rien de stocké à supprimer ni d'avis à refuser. L'identifiant est recalculé à chaque visite, en silence, en quelques millisecondes.

Pourquoi tout bloquer casserait le web

Canvas est une API graphique légitime utilisée par les jeux, les graphiques et les outils de design, les navigateurs ne peuvent donc pas simplement la retirer. À la place, les navigateurs axés confidentialité ajoutent du bruit : ils modifient subtilement les pixels qu'une page peut relire, pour que l'empreinte change entre les visites alors que l'image visible semble identique.

C'est pourquoi le même test d'empreinte peut donner des résultats différents selon les navigateurs. La différence, c'est la protection qui fonctionne, pas une erreur de mesure.

Ce qui réduit vraiment votre unicité

Le levier le plus fort est de se fondre dans la masse : une configuration de navigateur très répandue produit une empreinte commune partagée avec beaucoup d'utilisateurs. Firefox durci et Tor Browser normalisent ou randomisent la sortie canvas exactement pour cela.

Testez votre configuration avec l'analyse d'empreinte de ce site, notez les signaux d'unicité, puis appliquez une mesure de durcissement à la fois et relancez. Les instantanés de score permettent de comparer avant et après pour voir quel changement a vraiment compté.

• Préférez les navigateurs qui randomisent ou normalisent la lecture canvas.
• Évitez les combinaisons rares de polices, taille d'écran et extensions.
• Retestez après chaque changement au lieu d'en appliquer dix d'un coup.