In this Article
Le multiaccounting est au coeur de la stratégie marketing de nombreuses entreprises : il permet de réaliser des études, de lancer des campagnes publicitaires efficaces, d’interagir avec son audience et de garder une longueur d’avance sur la concurrence. Les plateformes et réseaux sociaux le combattent toutefois activement, car il est souvent associé à des activités frauduleuses. Même lorsque vos intentions sont parfaitement légitimes, gérer plusieurs profils peut donc s’avérer délicat, d’autant que les méthodes de détection évoluent et gagnent en précision presque chaque jour. Cet article explique leur fonctionnement et présente des moyens de protéger votre confidentialité.
Qu’est-ce que le fingerprinting, comment il vous identifie et comment les plateformes relient réellement vos comptes entre eux
Lorsque vous créez plusieurs profils sur Instagram, personne ne se tient derrière vous pour vous surveiller. Pourtant, même si vous prenez des précautions, les plateformes de réseaux sociaux peuvent parfois comprendre que plusieurs profils apparemment sans lien appartiennent à la même personne. En réalité, chacune de vos actions en ligne laisse des dizaines de petites traces. Combinés, ces signaux permettent aux sites web d’établir un profil assez précis de chaque utilisateur et de repérer plus facilement le multiaccounting.
Tout d’abord, il y a le browser fingerprinting : une technique qui consiste à collecter et à combiner des éléments de données que votre navigateur révèle à une page web (comme la taille de l’écran, les polices installées, la version du navigateur, etc.) afin d’identifier un navigateur. Cette technique crée pour chaque navigateur un identifiant unique, stable d’une session à l’autre. Même sans cookies, un tel identifiant permet de suivre un navigateur sur plusieurs sites.
Vient ensuite le device fingerprinting, un concept similaire mais plus large, fondé sur les caractéristiques de l’appareil, comme la version du système d’exploitation ou la configuration matérielle. Il permet de relier des activités menées dans plusieurs navigateurs et applications sur un même appareil.
Pris séparément, chaque élément de données ne peut pas confirmer votre identité, mais réunis, ils peuvent rendre un navigateur ou un appareil statistiquement unique et aider à vous identifier.
Les fingerprints et les cookies sont-ils la même chose ?
La réponse courte est non.
Le fingerprinting et les cookies se renforcent mutuellement, mais ne sont pas identiques. Les cookies sont de petites données qu’une page web enregistre dans votre navigateur afin d’aider les sites web à vous identifier. Les cookies sont des identifiants déterministes : des marqueurs clairs et directs indiquant qu’une session vous appartient. Mais même si vous refusez ou supprimez les cookies, les fingerprints restent présents. Les fingerprints sont des identifiants probabilistes : des signes indirects qui peuvent augmenter ou réduire la probabilité qu’une session appartienne au même utilisateur ou au même appareil, mais vous ne pouvez pas les refuser. De plus, les sites web les collectent généralement sans demander directement votre consentement. Ainsi, d’une certaine manière, les fingerprints peuvent en dire encore plus sur vous que les cookies, sans que vous le sachiez. Cependant, les plateformes combinent les deux types d’identifiants pour déterminer si vous êtes un utilisateur légitime, car s’appuyer uniquement sur le fingerprinting peut entraîner de fausses correspondances qui nuiraient aux utilisateurs autorisés, ou des absences de correspondance qui permettraient à des acteurs malveillants de passer inaperçus.
Quels types de fingerprints existe-t-il et comment les limiter ?
Le multiaccounting est-il pour autant voué à l’échec face à des mécanismes de fingerprinting toujours plus poussés ? Non. À mesure que les systèmes de détection évoluent, les moyens de protéger votre confidentialité évoluent eux aussi. Le fait que les fingerprints soient collectés sans votre accord soulève par ailleurs des questions de confidentialité et de légitimité. Voyons ce que vous pouvez faire.
Avertissement : Les informations suivantes sont fournies uniquement à des fins pédagogiques. DataImpulse ne vous encourage pas à entreprendre des actions ni à participer à des activités illégales, et n’assume aucune responsabilité quant aux conséquences éventuelles. Nous vous recommandons vivement de toujours lire la Politique de confidentialité et les Conditions d’utilisation des sites web, d’adopter uniquement des outils et approches légitimes, et de vous conformer aux réglementations sur la protection des données comme le GDPR, le CCPA, etc.
Métadonnées réseau et IP
Les métadonnées sont des informations qui décrivent d’autres données. Lorsque vous envoyez une requête, elle est accompagnée de nombreuses informations, telles que votre adresse IP, le comportement des ports et des données de routage. Elles peuvent aussi révéler votre emplacement géographique et le nom de votre fournisseur d’accès à Internet, voire indiquer si plusieurs sessions utilisent la même passerelle en amont.
Comment l’éviter : les proxies peuvent être une solution fiable pour masquer votre IP auprès du serveur cible. Avec eux, vos requêtes ne sont pas envoyées directement au serveur, mais à un proxy, qui les transmet ensuite au site web auquel vous souhaitez accéder. Ils peuvent aussi vous aider à maintenir un accès cohérent depuis différentes régions du monde.
En-têtes HTTP et paramètres TLS
Chaque requête comporte des en-têtes ainsi que d’autres informations, telles que les préférences du navigateur, nécessaires pour fournir la bonne réponse. TLS est le protocole de sécurité responsable des connexions chiffrées, le S de HTTPS. Lorsqu’il envoie une requête, votre navigateur annonce les versions de protocole prises en charge, les suites de chiffrement et leur ordre, les extensions ainsi que le comportement du handshake. Cette combinaison forme ce que l’on appelle le fingerprint TLS. Associé aux en-têtes, il peut révéler la famille et la version du navigateur, les préférences linguistiques et certains logiciels utilisés.
Comment l’éviter : chaque site web s’appuie sur ses propres bases de données et critères d’accès ; il n’existe donc pas de solution universelle au fingerprinting TLS. On ne peut pas non plus l’éliminer complètement. L’objectif consiste plutôt à le rendre plus cohérent aux yeux du serveur cible. Pour cela, il faut comprendre comment le site personnalise une configuration TLS standard.
En outre, les navigateurs headless comme Puppeteer ou Playwright, associés à des bibliothèques supplémentaires comme Puppeteer Stealth ou Playwright Stealth, peuvent vous aider à cet égard. Le spoofing est une autre piste : il consiste à utiliser des outils permettant de contrôler l’ordre des suites de chiffrement et la négociation HTTP2/2 vs HTTP/1.1. Il faut toutefois déterminer ce qui déclenche le fingerprinting TLS côté serveur et garder à l’esprit qu’il est impossible de le spoofer à 100 %.
Stockage du navigateur
De petits ensembles de données comme localStorage et sessionStorage proviennent de l’API de stockage du navigateur. Les sites web peuvent ensuite les lire lors de vos visites ultérieures.
localStorage persiste d’une session à l’autre, tandis que sessionStorage est conservé dans l’onglet concerné. Ces données peuvent révéler des préférences et des jetons de session déterministes. Elles constituent généralement des identifiants explicites, qui indiquent très clairement qu’il s’agit du même navigateur.
Comment l’éviter : Il existe plusieurs méthodes. Tout d’abord, des navigateurs spécialisés conçus pour le multiaccounting, comme Multilogin ou GoLogin, vous aident à créer des profils uniques qui ne partagent pas les mêmes données.
Ensuite, des extensions de navigateur telles que Privacy Badger peuvent empêcher les plateformes de suivre vos activités. Enfin, si vous ne pouvez pas vous dissimuler, essayez le spoofing. Cette technique consiste à modifier les données de votre navigateur pour donner l’impression que vous utilisez un autre appareil, système d’exploitation ou navigateur, ce qui rend votre suivi plus difficile. Certains navigateurs, comme Mozilla, vous permettent de modifier certaines données manuellement. Il existe également des extensions de spoofing comme Chameleon pour modifier les données.
Signaux Canvas et WebGL
Lorsque vous visitez une page web, celle-ci peut demander à votre navigateur de rendre un texte, des formes (canvas fingerprinting) ou des shaders GPU (WebGL fingerprinting). L’opération ne prend que quelques millisecondes et reste invisible, car elle est effectuée hors écran ou dans une zone de 1×1 pixel. Les différences de matériel, de système d’exploitation et de navigateur font que la même image est rendue légèrement différemment, produisant des hash canvas distincts. Ces hash peuvent révéler de nombreuses informations, notamment sur le CPU (unité centrale de traitement), le GPU (unité de traitement graphique), le système d’exploitation et les pilotes.
Comment l’éviter : Le fingerprinting Canvas et WebGL est difficile à éviter, car il repose sur des signaux matériels, contrairement aux méthodes mentionnées plus haut, qui utilisent des signaux logiciels. Même si vous utilisez des scripts ou des extensions de navigateur pour falsifier certaines valeurs, le rendu généré différera de ce que vous essayez d’afficher, et ces incohérences vous exposeront. Certaines méthodes peuvent tout de même aider, comme l’utilisation d’environnements virtualisés avec des paramètres GPU similaires. Toutefois, cette méthode est coûteuse, nécessite de solides compétences techniques et est difficile à faire évoluer à grande échelle.
Signaux comportementaux et temporels
Les mouvements de votre souris, votre cadence de frappe, votre vitesse de défilement et le délai entre vos actions, pris ensemble, aident à déterminer si un humain ou un bot se trouve de l’autre côté de l’écran. Ces caractéristiques peuvent persister d’une session à l’autre.
Comment l’éviter : utilisez des navigateurs axés sur la confidentialité et des outils d’automatisation fiables qui introduisent des délais aléatoires entre les actions. Effacez régulièrement le cache et les cookies, et ajustez les paramètres de confidentialité de votre navigateur. Les VPNs et les proxies sont également utiles.
Que se passe-t-il après la collecte des fingerprints
Chaque type de fingerprint présente des avantages et des inconvénients. Les cookies constituent une preuve solide, mais vous pouvez facilement les supprimer. Les hash canvas peuvent changer après une mise à jour des pilotes, et les signaux comportementaux sont sujets au bruit. S’appuyer uniquement sur l’un des types mentionnés n’est donc pas pratique. C’est pourquoi, après avoir collecté les données, les plateformes fusionnent tous ces signaux faibles et forts en liens cohérents et créent des graphes d’identité : des structures de données représentant les relations entre les signaux. Par exemple, cette IP a été vue avec ce cookie, ou ce hash canvas a été observé avec ce compte (un peu comme des rumeurs de célébrités). Ces graphes se transforment en réseaux denses qui aident à détecter si des ensembles de sessions apparemment disparates appartiennent au même utilisateur. De plus, grâce à ces réseaux, des changements brusques et des anomalies dans le comportement d’un compte peuvent signaler du multiaccounting.
C’est pourquoi il est essentiel de connaître toutes les façons dont vous pouvez être suivi et de combiner plusieurs outils pour renforcer votre anonymat. Même si vous utilisez le meilleur navigateur anti-détection et ignorez les proxies ou les outils d’automatisation, cela restera problématique, car de nombreux signaux montreront encore que vous gérez l’ensemble de ces comptes. Ce n’est pas le feu qui vous trahit, mais la fumée.
Points clés à retenir
- Vos activités en ligne laissent des dizaines de petites traces que les plateformes collectent et fusionnent. Elles peuvent ainsi révéler du multiaccounting.
- Ce processus s’appelle le fingerprinting. Il existe le browser fingerprinting, qui collecte les données que votre navigateur révèle à une page web, et le device fingerprinting, qui recueille de manière similaire des informations sur l’appareil.
- Les cookies et les fingerprints ne sont pas exactement la même chose. Les cookies constituent une preuve plus solide, mais vous pouvez les refuser ou les supprimer. Les fingerprints ne sont peut-être pas aussi explicites, mais les plateformes les collectent le plus souvent sans demander directement votre consentement. Les sites web combinent généralement les deux types de données.
- Les pages web collectent plusieurs types de données, comme les hash canvas, les schémas comportementaux et les paramètres TLS. En général, les signaux de niveau logiciel, comme les données de stockage du navigateur, sont plus faciles à masquer, spoofer ou modifier que les signaux de niveau matériel, comme le rendu WebGL. Toutefois, des outils spécialisés comme les navigateurs anti-détection, les VPN et les proxies peuvent aider.
- Il est important de savoir que les plateformes suivent et prennent en compte plusieurs signaux ; vous devez donc tous les couvrir si vous voulez gérer plusieurs comptes avec succès. Pour cela, vous devrez probablement combiner plusieurs outils fiables répondant à des objectifs différents. Ensemble, ils protégeront efficacement votre confidentialité.