Le pistage n'est pas un mécanisme unique
La plupart des conseils de protection de la vie privée traitent le sujet comme un bloc : on installe un outil, on coche une case, et l'affaire serait réglée. C'est la source principale des déceptions. Le pistage repose sur des mécanismes distincts, portés par des acteurs distincts, et une mesure efficace contre l'un est souvent sans effet sur l'autre. Bloquer les cookies tiers n'empêche pas votre fournisseur d'accès de voir les domaines que vous consultez, et la navigation privée efface votre historique local sans rien changer à l'empreinte de votre navigateur.
Le VPN illustre bien le problème. Il chiffre le trafic entre votre appareil et un serveur du fournisseur : votre fournisseur d'accès et le réseau Wi-Fi local ne voient plus qu'une connexion chiffrée, et les sites voient l'adresse IP du serveur au lieu de la vôtre. Il ne fait rien d'autre. Les cookies, l'empreinte du navigateur et les comptes connectés vous identifient exactement comme avant, et ce que votre fournisseur d'accès ne voit plus, le fournisseur du VPN le voit à sa place. Choisir un VPN revient donc à choisir à qui faire confiance : un classement du meilleur vpn ne vaut que s'il examine la juridiction du fournisseur, les audits indépendants de sa politique de journalisation et son modèle économique, bien plus que le débit ou le nombre de serveurs. Un VPN gratuit, qui doit se financer autrement que par l'abonnement, mérite sur ce point une méfiance particulière.
La bonne question n'est donc pas de savoir quel outil installer, mais qui vous observe et avec quoi. C'est ce qu'on appelle un modèle de menace : une liste réaliste des observateurs qui vous concernent, de ce qu'ils peuvent voir et de ce qu'il en coûte de les en empêcher. Pour la plupart des gens, l'adversaire n'est ni un service de renseignement ni un pirate, mais une économie publicitaire qui croise des données à très grande échelle. C'est contre elle que les mesures de ce guide sont évaluées.
Qui voit quoi quand vous naviguez
| Observateur | Ce qu'il voit | Ce qui le limite |
|---|---|---|
| Le site visité | Les pages lues, les clics, les formulaires, et votre identité si vous êtes connecté | Ce que vous choisissez de lui confier, et vos droits RGPD |
| Ses partenaires : régies, mesure d'audience, réseaux sociaux | Votre passage d'un site à l'autre, grâce aux cookies tiers, aux pixels et à l'empreinte | Blocage des cookies tiers, bloqueur de pistage, refus du consentement |
| Votre fournisseur d'accès ou le Wi-Fi utilisé | Les domaines consultés, les serveurs contactés, les horaires et les volumes, mais pas le contenu des pages en HTTPS | DNS chiffré, VPN |
| Les applications du téléphone | L'identifiant publicitaire, la localisation et, selon les autorisations, les contacts ou les photos | Réglages des autorisations, suppression de l'identifiant publicitaire |
| Les courtiers en données | Un profil assemblé à partir de sources multiples, en ligne et hors ligne | Droits d'accès, d'opposition et d'effacement |
Ce tableau se lit dans les deux sens. Il indique pour chaque observateur la mesure qui le gêne, et il montre aussi qu'aucune mesure ne couvre toutes les lignes. Un réglage de navigateur ne touche ni votre fournisseur d'accès ni les courtiers ; un VPN ne touche ni les partenaires publicitaires ni les applications ; vos droits RGPD ne bloquent rien en temps réel. Une protection sérieuse combine donc plusieurs mesures modestes plutôt qu'un outil unique, et commence par les lignes qui vous exposent le plus.
Le navigateur, premier terrain de pistage
L'essentiel du pistage publicitaire passe par le navigateur, et c'est aussi là que les mesures sont les plus efficaces pour le moins d'effort. Trois techniques dominent, et une quatrième, la navigation privée, est souvent prise à tort pour une parade.
Les cookies tiers
Un cookie est un petit fichier qu'un site dépose dans votre navigateur pour vous reconnaître d'une visite à l'autre. Déposé par le site lui-même, il sert surtout à garder votre session ouverte ou votre panier rempli. Déposé par un autre domaine présent sur la page, une régie, un réseau social, un outil de mesure, il permet à ce domaine de vous reconnaître sur tous les sites où il est installé : c'est le cookie tiers, pièce centrale du ciblage publicitaire. Safari les bloque par défaut depuis 2020 et Firefox les cloisonne site par site depuis 2022 ; Chrome, après avoir annoncé leur suppression pendant des années, y a renoncé et les accepte toujours par défaut. Les bloquer dans les réglages est la mesure la plus rentable de ce guide. La fiche sur les cookies et leur réglage détaille les différents types, ce que la loi impose aux bannières de consentement et la marche à suivre navigateur par navigateur.
L'empreinte du navigateur
Quand les cookies sont bloqués, le pistage se reporte sur l'empreinte : la combinaison de dizaines de caractéristiques que votre navigateur révèle à chaque page, version, langue, fuseau horaire, taille d'écran, polices installées, manière de dessiner un graphique. Prise ensemble, cette combinaison est souvent unique, et elle ne s'efface pas avec les cookies. Les autorités européennes considèrent qu'elle relève des mêmes règles de consentement que les cookies, ce qui n'a pas empêché Google d'autoriser cette pratique aux annonceurs de ses plateformes publicitaires à partir de février 2025. On parle souvent d'empreinte digitale du navigateur, mais il s'agit d'une empreinte numérique, dont le fonctionnement et les parades sont expliqués dans une fiche dédiée.
Les pixels et les scripts de mesure
Un pixel espion est une image invisible, ou un petit script, chargée depuis le serveur d'un tiers. Le simple fait de la charger lui transmet votre adresse IP, la page consultée et l'heure, sans aucun cookie. Le même procédé équipe une grande partie des e-mails commerciaux, qui savent ainsi si et quand vous les avez ouverts. Les bloqueurs de pistage les neutralisent sur le web ; dans une messagerie, il faut désactiver le chargement automatique des images distantes, une option que proposent la plupart des clients de messagerie.
La navigation privée, une protection surestimée
La navigation privée n'enregistre ni historique ni cookies une fois la fenêtre fermée. C'est utile sur un ordinateur partagé, et cela coupe le suivi par cookies d'une session à l'autre. Mais pendant la session, les sites, leurs partenaires, votre fournisseur d'accès et le réseau de votre employeur voient exactement la même chose qu'en navigation normale, et l'empreinte de votre navigateur reste identique. Google a d'ailleurs modifié en 2024 l'avertissement affiché par Chrome, dans le cadre du règlement d'une action collective américaine portant sur ce malentendu. Les limites précises du mode incognito, et les cas où il reste réellement utile, font l'objet d'une fiche.
Les bloqueurs
Un bloqueur de publicité ou de pistage empêche le navigateur de contacter les domaines connus pour pister, à partir de listes de filtres maintenues par des communautés. C'est, avec le blocage des cookies tiers, la mesure la plus efficace, parce qu'elle agit en amont : un traceur qui n'est jamais chargé ne collecte rien, ni cookie ni empreinte. Elle a deux revers. Une extension de blocage voit, par construction, toutes les pages que vous ouvrez, et certaines laissent passer des publicités dites acceptables en échange d'une rémunération versée par les annonceurs. La fiche sur le choix d'un bloqueur de publicité donne les critères pour éviter ces deux pièges.
Le réseau : ce que voit votre fournisseur d'accès
Votre fournisseur d'accès ne lit pas le contenu des pages chiffrées en HTTPS, qui représentent désormais la très grande majorité du web. Il voit en revanche à quels serveurs vous vous connectez, à quelle heure et pour quel volume, et, dans la plupart des cas, le nom des sites consultés : la traduction du nom de domaine en adresse, la requête DNS, passe en clair par ses serveurs, et le nom du site figure encore en clair au début de la plupart des connexions chiffrées. Deux réglages réduisent cette exposition. Le DNS chiffré, proposé par tous les navigateurs récents et par Android, retire à l'opérateur la liste de vos requêtes. Le VPN va plus loin et déplace l'ensemble de cette visibilité vers son propre fournisseur. Les opérateurs français conservent par ailleurs des données de connexion pendant un an au titre de la sécurité nationale, un régime admis par le Conseil d'État en 2021 et reconduit chaque année par décret. La fiche sur ce que voit votre fournisseur d'accès détaille ces mécanismes et les réglages correspondants.
Le téléphone et les objets connectés
Sur un smartphone, le pistage passe moins par les cookies que par les applications. Chacune peut lire l'identifiant publicitaire de l'appareil, un numéro unique qui permet aux régies de relier votre activité d'une application à l'autre. Depuis iOS 14.5, les applications doivent demander votre accord avant de vous suivre, et un refus les prive de cet identifiant ; sur Android, vous pouvez désormais le supprimer plutôt que vous contenter de le réinitialiser. La localisation est l'autre donnée sensible : une application qui n'a besoin que de votre ville n'a aucune raison d'obtenir votre position exacte, et les deux systèmes permettent de ne lui accorder qu'une position approximative. Les réglages à passer en revue, dans l'ordre, sont rassemblés dans la fiche sur la vie privée sur smartphone.
Les téléviseurs connectés méritent la même attention. Beaucoup intègrent une technologie de reconnaissance automatique de contenu, qui identifie ce qui s'affiche à l'écran, y compris depuis une console ou un décodeur branché sur le téléviseur, pour constituer un historique de visionnage exploité à des fins publicitaires. Elle est généralement acceptée lors de la première installation, au détour d'un écran de conditions d'utilisation. De nombreux appareils de streaming et téléviseurs intelligents permettent de la désactiver dans leurs paramètres de confidentialité, à condition de chercher : le réglage porte rarement le nom de la technologie, et il faut parfois en désactiver plusieurs.
Vos droits, le levier que les outils n'offrent pas
Les outils techniques réduisent ce qui sera collecté à partir de maintenant ; ils ne font rien pour les données déjà collectées. C'est le rôle du RGPD. Toute entreprise qui détient des données vous concernant doit vous dire lesquelles sur simple demande, c'est le droit d'accès de l'article 15, cesser de les utiliser pour la prospection si vous vous y opposez, en vertu de l'article 21, et, dans de nombreux cas, les effacer au titre de l'article 17. Elle dispose en principe d'un mois pour répondre. Une entreprise qui a obtenu vos données sans passer par vous, auprès d'un partenaire ou dans un fichier acheté, doit en outre vous en informer d'elle-même : c'est précisément la situation des courtiers en données, ces sociétés qui assemblent et revendent des profils. En cas de refus ou de silence, une plainte auprès de la CNIL est gratuite et se dépose en ligne.
Ces droits s'appliquent aussi aux entreprises établies hors de l'Union dès lors qu'elles ciblent des personnes qui y résident, et d'autres pays ont adopté des cadres comparables. Le Brésil applique ainsi depuis 2020 sa loi générale de protection des données, la LGPD, très inspirée du RGPD, et les guides lusophones de type melhor vpn brasil raisonnent avec les mêmes critères de juridiction et de conservation des données que ceux exposés plus haut. La fiche sur les courtiers en données et vos droits fournit un modèle de demande et la marche à suivre pour les cas les plus courants.
Par où commencer
- Dans votre navigateur principal, bloquez les cookies tiers et installez un bloqueur de pistage reconnu. C'est un quart d'heure de réglages pour l'essentiel du gain.
- Sur votre téléphone, refusez le suivi publicitaire, supprimez l'identifiant publicitaire si votre système le permet, puis passez en revue les autorisations de localisation, application par application.
- Activez le DNS chiffré sur vos appareils, et ajoutez un VPN si vous utilisez souvent des réseaux Wi-Fi publics ou si vous ne souhaitez pas que votre fournisseur d'accès connaisse les sites que vous consultez.
- Sur les bannières de consentement, utilisez le bouton de refus : en France, la CNIL exige qu'il soit aussi simple d'accès que le bouton d'acceptation, et sanctionne les sites qui le dissimulent.
- Une fois par an, envoyez une demande d'accès aux deux ou trois entreprises qui vous sollicitent le plus, pour savoir ce qu'elles détiennent et d'où elles tiennent vos coordonnées.
Aucune de ces étapes ne vous rend invisible, et ce n'est pas l'objectif. Il s'agit de faire passer votre profil du statut de donnée gratuite et abondante à celui de donnée coûteuse à obtenir, ce qui suffit à vous sortir de l'essentiel des circuits publicitaires. L'ordre proposé suit le rapport entre l'effort demandé et l'exposition réduite : les deux premières étapes traitent la plus grande part du pistage quotidien.
Les fausses bonnes idées
L'option Ne pas me pister des navigateurs, dite Do Not Track, envoie aux sites une demande qu'aucune loi ne les oblige à respecter et que la quasi-totalité ignore ; Firefox l'a retirée de ses réglages en 2025. Elle ajoute même une caractéristique de plus à votre empreinte. Effacer ses cookies chaque semaine a un effet réel mais limité : vous êtes déconnecté de tous vos comptes, et les sites qui vous reconnaissent par votre empreinte ou par votre identifiant de connexion n'en sont pas gênés.
Multiplier les extensions de protection est une autre erreur fréquente. Chaque extension supplémentaire modifie le comportement du navigateur d'une manière qui peut le rendre plus singulier, donc plus facile à reconnaître, et chacune obtient un accès étendu à vos pages. Un bon bloqueur et des réglages de navigateur stricts font mieux que cinq outils qui se chevauchent. Enfin, les services payants qui promettent d'effacer vos données chez les courtiers rendent surtout service aux résidents américains ; en Europe, le droit d'opposition exercé directement est gratuit et juridiquement plus solide.
À propos de ce site
Ce que ce site fait de vos données : rien.
emnps ne dépose aucun cookie, ne charge aucune ressource depuis un autre domaine, les polices de caractères étant hébergées ici, et n'utilise aucun outil de mesure d'audience. Les liens vers d'autres sites s'ouvrent dans un nouvel onglet.