Un VPN change-t-il l'empreinte de votre navigateur ? Ce qu'il faut tester d'abord

Vous basculez le VPN vers un autre pays, rechargez la boutique, et elle vous salue toujours par votre nom avec le même panier. C'est le moment où le mot empreinte entre généralement dans la conversation, souvent suivi d'un site de test qui affirme que votre navigateur est unique sur un million. Mieux vaut traiter le problème dans l'ordre : pour les requêtes de page ordinaires le tunnel change exactement un champ, le navigateur continue d'en signaler des dizaines, et le test mesure quelque chose de plus étroit que ce qu'il n'y paraît. Cinq étapes séparent ces trois choses.

Étape 1 : écarter les raisons banales pour lesquelles vous avez été reconnu

Commencez déconnecté. Ouvrez une fenêtre privée, visitez la même page et voyez si elle se comporte encore comme si elle vous connaissait. Les cookies, le stockage local et une session active expliquent la plupart des rapports « il m'a vu à travers le VPN », et aucun d'eux n'est de l'empreinte.

Si la page reconnaît encore quelque chose dans une fenêtre privée, regardez l'état visible que vous avez emporté : le même compte dans un autre onglet, une saisie de formulaire enregistrée, un gestionnaire de mots de passe qui remplit votre adresse, ou un site que vous avez autorisé avec un jeton dans l'URL. Chacun est une référence stockée, et effacer le profil la supprime.

Ce n'est que lorsqu'un profil propre sans session produit encore une reconnaissance corrélée à des visites antérieures qu'il vaut la peine de parler d'empreinte. C'est une affirmation bien plus étroite que « le VPN ne marche pas », et c'est celle que vous pouvez réellement tester.

Étape 2 : changer la sortie et lister ce qui n'a pas changé

Montez le tunnel, puis vérifiez la seule valeur que le tunnel est censé déplacer : l'adresse qu'un serveur voit. N'importe quelle page de recherche d'adresse l'affiche, ou lisez-la depuis un point de terminaison que vous contrôlez avec curl -s https://your-endpoint.example/ip. Tout service d'écho que vous utilisez voit la requête, donc un point de terminaison qui vous appartient la garde hors du journal de quelqu'un d'autre. Confirmez qu'elle a changé. Maintenant la partie intéressante — listez ce que le navigateur signale encore sur lui-même, car presque rien de tout cela ne voyage dans l'en-tête du paquet.

La ligne du fuseau horaire est celle sur laquelle il vaut la peine de s'arrêter. Elle est lue depuis le système d'exploitation, donc un tunnel qui déplace votre trafic vers un autre continent alors que l'horloge dit encore votre ville d'origine produit une incohérence qui est en soi une observation distinctive. Il en va de même pour une liste de langues dans un pays et une sortie dans un autre : pas une preuve de quoi que ce soit, juste une combinaison qui ressort. WebRTC est l'exception du tableau : une page qui ouvre un canal média ou de données peut recueillir des adresses candidates, et avec le tunnel actif une candidate peut porter l'adresse de sortie ou, sans protection contre les fuites, offrir encore la vôtre locale.

Étape 3 : lire un test d'empreinte pour ce qu'il rapporte

Cover Your Tracks de l'EFF est la première halte habituelle. Il montre les caractéristiques que votre navigateur expose à cette page et rend un verdict sur le nombre de navigateurs de son échantillon qui les partagent. Lisez les petites lignes : l'échantillon est constitué des personnes qui ont fait le test, les signaux sont ceux que cette page a choisi de collecter, et le verdict est une estimation en bits d'entropie, pas un recensement.

Donc « votre navigateur est unique » signifie unique au sein de ce jeu de données, aujourd'hui, avec ce jeu de sondes. Cela ne veut pas dire qu'un site peut en déduire votre nom, et ce n'est pas une propriété permanente — une mise à jour du navigateur peut déplacer la valeur sans que vous touchiez à quoi que ce soit.

Servez-vous du test comme instrument de mesure, pas comme d'un score à optimiser. Notez les valeurs rapportées, changez une chose et comparez les mêmes champs. Si rien n'a changé dans le navigateur et que les relevés ont bougé quand même, le changement était du bruit dans l'échantillon, pas chez vous.

Étape 4 : changer les caractéristiques qui sont réellement les vôtres

Vous pouvez maintenant agir sur des lignes précises. La liste de langues, le fuseau horaire et les formats régionaux sont des réglages, et les aligner sur l'endroit où vous prétendez être est un comportement cohérent, pas un truc. Un profil de navigateur distinct par contexte garde les données du site et les connexions à part, ce qui traite la reconnaissance de l'étape 1 plus sûrement que n'importe quelle extension anti-empreinte.

Prudence avec le conseil classique d'ajouter des extensions de durcissement. Chacune modifie votre surface observable, et un ensemble de réglages inhabituels peut vous rendre plus rare plutôt que plus ordinaire. Certaines bloquent une API que les pages peuvent détecter comme absente ; d'autres laissent une signature patchée distinctive. La popularité d'une extension n'est pas la preuve qu'elle réduit l'identifiabilité.

Les navigateurs qui prennent cela au sérieux font quelque chose de structurellement différent : ils normalisent. Tor Browser vise à ce que chaque utilisateur rapporte les mêmes valeurs, Firefox embarque un mode de protection qui rapporte des valeurs normalisées issues d'un petit ensemble au lieu des vôtres, et Safari limite ce que les sites peuvent lire. C'est une décision de conception appliquée avec constance, et les indications du guide du W3C sur les empreintes expliquent pourquoi la normalisation l'emporte sur la randomisation par utilisateur pour ce problème.

Étape 5 : décider de quelle couche vous aviez vraiment besoin

Trois choses distinctes sont regroupées dans « cachez-moi » : le chemin réseau, la surface observable du navigateur et vos comptes. Un VPN traite la première. Il ne touche pas la seconde et ne peut rien pour la troisième — la connexion est l'identifiant le plus direct qui existe, et elle survit à chaque changement de sortie.

Si votre objectif est qu'un site ne puisse pas dire que deux visites sont liées, il vous faut aussi la couche navigateur : un profil propre par contexte, des réglages cohérents et aucune connexion partagée. Si votre objectif est que le site ne puisse pas du tout dire qui vous êtes, c'est un modèle de menace où Tor Browser, qui associe le routage à une normalisation au niveau du navigateur, est le choix cohérent plutôt qu'un navigateur ordinaire derrière un tunnel.

Si votre objectif est seulement que le site voie une autre ville et que votre fournisseur d'accès ne voie rien, le tunnel seul suffit vraiment, et le résultat du test d'empreinte est sans rapport avec cet objectif. L'essentiel de la déception ici vient d'acheter une couche et d'en attendre trois.

Un ordre qui garde les étapes honnêtes :

• Reproduisez la reconnaissance avec un profil propre et sans connexion avant d'accuser le tunnel.
• Confirmez que l'adresse de sortie a changé, puis notez quelles valeurs du navigateur n'ont pas changé.
• Comparez les mêmes champs de test avant et après un seul changement, pas le score principal.
• Réglez le fuseau horaire et la langue pour qu'ils correspondent à votre histoire avant d'ajouter la moindre extension.
• Choisissez la couche qui correspond à l'objectif : réseau, surface du navigateur ou comptes.