Do Not Track Fingerprinting : activer DNT vous identifie davantage

Le Do Not Track (DNT) fingerprinting est l'un des paradoxes les plus emblématiques de la vie privée sur le web : un mécanisme conçu pour protéger les utilisateurs du pistage qui, en pratique, contribue à les identifier. En lisant navigator.doNotTrack, les scripts peuvent distinguer les utilisateurs qui ont activé DNT — une minorité de 8 à 12 % — les rendant statistiquement plus uniques que la majorité silencieuse. Vérifiez votre configuration sur whatsmy.fyi.

En résumé

navigator.doNotTrack retourne "1" (DNT activé), "0" (DNT explicitement désactivé) ou null (non configuré — la valeur par défaut dans la plupart des navigateurs). Le W3C a abandonné le standard DNT en 2019, faute d'adoption volontaire par les acteurs publicitaires. Apple a supprimé DNT de Safari 12.1 en 2019, invoquant précisément le risque de fingerprinting. Firefox a supprimé l'interface utilisateur DNT dans la version 135 (2025). Son successeur, Global Privacy Control (GPC), envoie l'en-tête Sec-GPC: 1 et est juridiquement contraignant en Californie — mais souffre du même paradoxe d'entropie.

L'histoire du Do Not Track

Le Do Not Track a été proposé en 2009 par la Federal Trade Commission américaine comme une liste de refus analogue au registre National Do Not Call. Contrairement à ce dernier, DNT n'a jamais été juridiquement contraignant — sa conformité était entièrement volontaire pour les annonceurs. En pratique, les grands acteurs publicitaires l'ont largement ignoré, et le W3C a officiellement abandonné le groupe de travail DNT en janvier 2019 après des années de blocage de l'industrie.

Ironiquement, le mécanisme prévu pour protéger la vie privée s'est révélé être lui-même un vecteur de fingerprinting. Les utilisateurs qui activaient DNT signalaient, sans le savoir, leur appartenance à un groupe minoritaire — plus technique, plus sensible à la vie privée, statistiquement distinct.

Comment fonctionne le Do Not Track fingerprinting ?

Lecture de navigator.doNotTrack

// Lecture du signal DNT
const dnt = navigator.doNotTrack;
// → "1"  : DNT activé (l'utilisateur demande à ne pas être pisté)
// → "0"  : DNT désactivé explicitement
// → null : non configuré (défaut dans la plupart des navigateurs)
// → undefined : navigateur ne supportant pas DNT (rare)

// Lecture côté serveur via l'en-tête HTTP
// DNT: 1  (présent dans les requêtes si DNT activé)

Le paradoxe de l'entropie DNT

La valeur null (DNT non configuré) est de loin la plus courante — environ 88 à 92 % des utilisateurs. Elle apporte très peu d'entropie. La valeur "1"(DNT activé) représente 8 à 12 % des utilisateurs, un groupe suffisamment restreint pour fournir 3 à 4 bits d'entropie supplémentaire. La valeur "0" (DNT explicitement désactivé) est encore plus rare — certains navigateurs ne permettent pas de la définir — et produit la plus grande entropie individuelle.

Intégration dans un profil de fingerprinting

// Collecteur d'empreinte intégrant DNT
function getDNTFingerprint() {
  return {
    doNotTrack: navigator.doNotTrack,          // "1", "0", ou null
    // Signal GPC complémentaire (successeur de DNT)
    globalPrivacyControl: navigator.globalPrivacyControl ?? false,
    // Combiné avec d'autres signaux de préférence de confidentialité :
    cookieEnabled: navigator.cookieEnabled,
    language: navigator.language,
    // → Ensemble, ces signaux forment un profil "utilisateur soucieux de la vie privée"
    //   qui est paradoxalement plus identifiable que l'utilisateur moyen
  };
}

Chronologie de l'abandon de DNT

Global Privacy Control (GPC) : même paradoxe, nouveau nom

Le GPC est le successeur de DNT, porté par l'EFF et un consortium de navigateurs et d'éditeurs de confidentialité. Il envoie l'en-tête HTTP Sec-GPC: 1 et expose navigator.globalPrivacyControl: true. Contrairement à DNT, GPC est juridiquement contraignant en Californie sous le CCPA/CPRA, et les entreprises doivent honorer le signal pour les résidents californiens.

Cependant, GPC souffre du même paradoxe d'entropie que DNT : les navigateurs qui activent GPC par défaut (Brave, DuckDuckGo Browser) augmentent mécaniquement leur taux d'adoption, réduisant l'entropie produite par ce signal. Les utilisateurs qui activent GPC dans des navigateurs où ce n'est pas le défaut restent statistiquement distinctifs.

// Lecture du signal GPC
const gpc = navigator.globalPrivacyControl;
// → true  : GPC activé (Brave, DuckDuckGo Browser, ou paramètre utilisateur)
// → false : GPC non activé (valeur par défaut dans Chrome, Firefox, Safari)
// → undefined : navigateur ne supportant pas GPC

// En-tête HTTP correspondant envoyé dans chaque requête :
// Sec-GPC: 1

RGPD et Do Not Track en France

En droit français et européen, le signal DNT n'a jamais eu de valeur juridique contraignante. La CNIL base son cadre sur le consentement explicite aux cookies de suivi (bandeaux de consentement), pas sur les préférences navigateur comme DNT. Lire le signal DNT pour construire un identifiant de pistage constitue un traitement de données personnelles soumis au RGPD, même si aucun cookie n'est déposé. Une exemption d'intérêt légitime peut s'appliquer pour la détection de fraude, mais pas pour le ciblage publicitaire.

Comment se protéger du Do Not Track fingerprinting

• Tor Browser (protection maximale) : Tor Browser normalise navigator.doNotTrack pour tous ses utilisateurs — typiquement à "1" — de sorte que tous les utilisateurs Tor paraissent identiques sur ce signal. La protection vient de l'uniformité dans la masse, pas du blocage.
• Brave Browser (GPC par défaut) : Brave active GPC par défaut pour tous ses utilisateurs, ce qui réduit l'entropie produite par ce signal (trop de monde l'a dans ce navigateur pour que ce soit distinctif). DNT n'est pas activé par défaut.
• Ne pas activer DNT dans Chrome ou Firefox : Dans les navigateurs grand public, activer DNT vous place dans une minorité facilement identifiable. Si vous souhaitez signaler votre préférence de confidentialité, préférez GPC dans un navigateur qui l'active à grande échelle.
• Firefox avec privacy.resistFingerprinting : Ce paramètre normalise de nombreuses valeurs de l'objet navigator, incluant les signaux liés à la vie privée, réduisant leur entropie individuelle.

Foire aux questions

Les sites respectent-ils encore DNT aujourd'hui ?

La plupart des grands réseaux publicitaires ne respectent pas DNT. En l'absence d'obligation légale dans la quasi-totalité des juridictions, DNT est devenu une déclaration d'intention sans mécanisme d'application. Des exceptions notables : Pinterest et Medium ont annoncé respecter DNT, mais la vérification de la conformité effective est difficile pour les utilisateurs.

Pourquoi Apple a-t-il supprimé DNT de Safari ?

Apple a retiré DNT de Safari 12.1 en mars 2019 avec le raisonnement explicite que le signal lui-même pouvait être utilisé comme vecteur de fingerprinting. En éliminant la fonctionnalité, Apple a uniformisé tous les utilisateurs Safari sur ce signal, réduisant son utilité pour les traceurs. C'est une application directe du principe : l'uniformité protège mieux que l'expression de préférence individuelle.

Quelle est la différence entre DNT et GPC ?

DNT est un standard W3C abandonné sans force juridique. GPC est un standard soutenu par l'EFF, juridiquement contraignant en Californie sous CCPA/CPRA, et de plus en plus reconnu par d'autres régulateurs. GPC envoie à la fois un en-tête HTTP (Sec-GPC: 1) et expose une propriété JavaScript (navigator.globalPrivacyControl). Les deux souffrent du même paradoxe de fingerprinting — leur valeur est maximale lorsqu'ils sont adoptés par suffisamment d'utilisateurs pour perdre leur caractère distinctif.

Le mode privé active-t-il DNT automatiquement ?

Non dans la plupart des navigateurs. La navigation privée isole les cookies et l'historique de navigation, mais elle ne modifie pas navigator.doNotTrack. La valeur reflète les paramètres globaux du navigateur, identiques en fenêtre normale et privée.

Articles connexes

• Qu'est-ce que le browser fingerprinting ? — le guide complet de tous les signaux de fingerprinting combinés
• Qu'est-ce que le cookie enabled fingerprinting ? — le même paradoxe appliqué aux cookies : bloquer = s'identifier
• Qu'est-ce que le browser language fingerprinting ? — navigator.languages comme signal d'identité linguistique et culturelle
• Qu'est-ce que le canvas fingerprinting ? — le signal de fingerprinting le plus puissant, sans aucun paradoxe