Les navigateurs les plus sûrs : combien de données envoient-ils quand ils «appellent à la maison» ?

Il fut un temps où la seule chose qui comptait à propos des navigateurs était leur vitesse. La rapidité avec laquelle leurs moteurs JavaScript pouvaient traiter les données, sans sacrifier la compatibilité. Aujourd'hui, tout tourne autour de la sécurité et de la vie privée : comment ils bloquent les menaces, combien de données ils partagent avec leurs vaisseaux mères, et quels éléments ils filtrent avec leur configuration standard. Une récente étude du Trinity College de Dublin confronte six navigateurs populaires et révèle des détails très intéressants…

Rapide et sûr. Le navigateur moyen ne doit pas seulement offrir le meilleur des deux mondes, mais il est, d'un certain point de vue, contraint de le faire pour rester compétitif. Cependant, nous savons bien qu'ils ne sont pas parfaits. Parfois, une erreur les amène à partager des détails qui devraient rester sous le contrôle de l'utilisateur, et dans d'autres cas, le processus est voulu. L'argument est que les développeurs ont besoin de ces informations supplémentaires pour évaluer le fonctionnement du navigateur et implémenter des améliorations dans les versions futures, mais si le prix à payer est notre vie privée… il est logique d'avoir des doutes.

L'étude de Trinity College

Ce qui explique pourquoi différents experts et organisations évaluent le comportement des principaux navigateurs du marché. Fin février, Douglas J. Leith de l'École de statistiques et d'informatique du Trinity College de Dublin a publié une étude de quinze pages dans laquelle il confronte six navigateurs : Google Chrome, Mozilla Firefox, Apple Safari, Brave, Edge Chromium et Yandex. L'étude se concentre fondamentalement sur l'envoi de données par ces navigateurs, y compris des identifiants uniques et d'autres détails dans des adresses écrites qui pourraient permettre le suivi d'un utilisateur au fil du temps.

Les mauvais élèves : Edge Chromium et Yandex

En commençant par les pires... en bas du tableau apparaissent Edge Chromium et Yandex. Ils envoient tous deux des «identifiants persistants» qui peuvent être utilisés pour suivre les requêtes (y compris toute localisation et adresse IP associée) vers les serveurs backend. De plus, Edge envoie l'UUID (Universally unique identifier) de l'appareil à Microsoft, et Yandex fait de même en transmettant un identifiant matériel haché. Cela ne peut pas être désactivé, et comme si cela ne suffisait pas, la fonction de remplissage automatique partage des détails sur les pages web visitées (les deux navigateurs offrent une option pour la désactiver).

Chrome, Firefox et Safari au milieu

Chrome, Firefox et Safari sont essentiellement restés au milieu. Le navigateur de Google envoie un identifiant persistant avec des adresses web, ce qui permet de lier les deux éléments. Firefox inclut des identifiants dans ses transmissions de télémétrie (désactivables) et ouvre un websocket en permanence pour les notifications push, lui-même associé à un autre identifiant unique. Safari possède dès l'usine une page d'accueil qui peut filtrer des informations vers des tiers et précharger des pages avec des identifiants, tandis que les processus iCloud établissent des connexions avec des identifiants.

Le vainqueur : Brave

Le «gagnant», pour ainsi dire, est Brave. Sa configuration d'usine offre le plus de confidentialité à l'utilisateur, sans identifiants permettant le suivi de l'adresse IP, et sans partager de détails sur les pages visitées.

Les réactions des éditeurs

Naturellement, toute étude donne lieu à un droit de réponse. Microsoft possède un article entier dédié à la collecte de données et aux paramètres de confidentialité dans Edge Chromium. Apple a rappelé que Safari a la capacité de bloquer les cookies tiers et dispose de l'outil Intelligent Tracking Prevention, qui limite encore plus la quantité d'informations partagées. Les représentants de Mozilla ont indiqué que l'historique de navigation n'est envoyé (avec un chiffrement de bout en bout) que si l'utilisateur utilise la fonction Sync. Les informations techniques n'incluent pas l'historique, et les identifiants sont générés de manière aléatoire. Les adresses IP ne sont conservées que brièvement (en invoquant des questions de sécurité et de détection de fraudes) et sont anonymisées. Google n'a pas fait de commentaires pour le moment.

Conclusion

Bien sûr, l'étude n'a pas le dernier mot, et avec le lancement de nouvelles versions, des améliorations supplémentaires sont attendues, mais elle sert au moins à rappeler les problèmes de confidentialité liés à la fonction de remplissage automatique. Si vous souhaitez que votre navigateur soit un peu plus privé, vous devriez commencer par là.

[N.d.R. : Les versions évaluées sont Chrome (v80.0.3987.87), Firefox (v73.0), Brave (v1.3.115), Safari (v13.0.3), Edge (v80.0.361.48) et Yandex (v20.2.0.1145)]

Accédez à l'étude (PDF, anglais) : Cliquez ici