État de la vie privée des navigateurs en 2026 : fingerprinting, isolement, durcissement

Table des matières

• Pourquoi la vie privée des navigateurs compte en 2026
• Les quatre fronts du tracking de navigateur
• État de l'art du fingerprinting en 2026
• Mode Isolement, quatre ans après
• Comparatif des navigateurs orientés vie privée
• Panorama DNS-over-HTTPS et DNS-over-TLS
• Méthodologie d'audit des extensions
• Crochets de confidentialité au niveau OS
• Ce qui a changé dans les moteurs de navigateur en 2026
• Défenses comparées : quelle couche arrête quoi
• Nos recommandations pour 2026
• Méthodologie et sources

Quelle est la plus grande menace pour la vie privée des navigateurs en 2026 ?

Le fingerprinting — et non les cookies — est la principale menace de tracking en 2026. La recherche publiée sur le fingerprinting (EFF « How Unique Is Your Web Browser? » / Cover Your Tracks) montre que canvas, WebGL et AudioContext apportent chacun de l'ordre de 10 bits d'entropie ou plus. Combinés, ces trois vecteurs rendent la grande majorité des navigateurs de bureau identifiables uniquement avant l'ajout de signaux passifs. Les cookies tiers sont en grande partie résolus par Safari, Firefox et Brave ; les empreintes dérivées de l'appareil, non.

Pourquoi la vie privée des navigateurs compte en 2026

Les navigateurs sont la surface la plus exposée d'un appareil moderne. Ils exécutent du code non vérifié provenant de centaines d'origines par session, hébergent la plupart des tokens d'identité de l'utilisateur, et deviennent de plus en plus le client universel pour des applications qui s'installaient autrefois en natif. Une page grand public typique charge aujourd'hui du JavaScript depuis de nombreux domaines tiers et sous-domaines first-party — un nombre qui n'a cessé de grimper ces dernières années, comme le documentent les jeux de données publics de transparence du web tels que HTTP Archive. La surface d'attaque continue de croître.

Deux glissements survenus ces 18 derniers mois ont reformé le modèle de menace. D'abord, la transition post-cookie a forcé les trackers à se rabattre sur des signaux dérivés de l'appareil plutôt que du stockage. Les cookies se vidaient facilement — les empreintes canvas, non. Ensuite, la demande de données comportementales pour l'entraînement de modèles a augmenté, ce qui accroît plausiblement la valeur de revente de la télémétrie fine de navigateur — même si nous n'avons aucun chiffre first-party pour en quantifier l'ampleur.

L'effet combiné est simple. La valeur défensive a remonté la pile : vider ses cookies et activer Do Not Track ne suffit plus. La bataille actuelle se joue aux couches rendu, réseau, et OS.

Ce rapport pose une référence. Il catalogue les quatre fronts de tracking, l'état de la recherche fingerprinting mi-2026, l'évolution du mode Isolement d'Apple depuis iOS 16, le positionnement réaliste de chaque navigateur orienté confidentialité encore activement maintenu, l'écosystème DNS chiffré, le paysage des extensions après Manifest V3, et les crochets OS qui méritent d'être touchés sur macOS, Linux et Windows. Chaque affirmation s'appuie sur une publication de recherche ou une documentation éditeur, et la section méthodologie indique d'où vient chaque chiffre.

Les quatre fronts du tracking de navigateur

Il y a quatre fronts largement indépendants. Un modèle de menace sérieux doit les couvrir tous ; en négliger un fait souvent s'effondrer les autres.

Front 1 — Tracking par stockage. Cookies, localStorage, IndexedDB, service workers, Cache API. La couche la plus ancienne. Les navigateurs modernes partitionnent la majorité de ce stockage par origine top-frame, ce qui rend l'ère du cookie tiers effectivement révolue dans Safari, Firefox et Brave. Le Privacy Sandbox de Chrome a remplacé les cookies tiers par Topics et Protected Audience en 2024, avec une réception mitigée. Le tracking par stockage reste utile pour l'analytics first-party mais ne permet plus l'assemblage de profils cross-site comme en 2018.

Front 2 — Fingerprinting. Tout ce qui est passif, dérivé de l'appareil et de la pile de rendu : User-Agent, taille d'écran, polices, canvas, WebGL, audio context, hardware concurrency, device memory, batterie, capteurs, et la nouvelle frontière entropique du timing de shaders GPU. Le fingerprinting ne nécessite ni stockage ni consentement. C'est la méthode de tracking dominante en 2026 pour quiconque cherche à maintenir une identité persistante.

Front 3 — Identité réseau. Adresse IP, empreinte TLS (JA3, JA4), patterns des SETTINGS frames HTTP/2, identifiants de connexion QUIC, et patterns de requêtes DNS. Même derrière un VPN, le handshake TLS révèle navigateur et version exacts. Même avec un DNS privé, le SNI dans le ClientHello reste visible à l'opérateur réseau sauf si Encrypted ClientHello (ECH) est actif.

Front 4 — Capteurs et canaux auxiliaires. Microphone, caméra, géolocalisation, gyroscope, accéléromètre, luminosité ambiante, et de plus en plus les API WebHID et WebUSB. La plupart des utilisateurs rencontrent des invites de permission explicites ici, mais les capteurs ambiants sur mobile fuient passivement et ont été utilisés dans des attaques publiées pour défaire les injections de bruit anti-fingerprinting.

Chaque front demande sa propre mitigation. Un VPN couvre des morceaux du front 3 mais rien du front 2. Un navigateur orienté vie privée couvre des morceaux des fronts 1 et 2 mais améliore peu le front 3. Le mode Isolement est l'une des rares fonctionnalités qui touche en même temps les fronts 2 et 4.

État de l'art du fingerprinting en 2026

Six vecteurs portent la majorité de l'entropie en 2026. Liste par densité d'information décroissante, fondée sur la recherche publiée sur le fingerprinting (EFF « How Unique Is Your Web Browser? » et le projet Cover Your Tracks) plutôt que sur des mesures qui nous seraient propres.

Le fingerprinting canvas reste le vecteur le plus dense pris seul — la recherche publiée l'estime de l'ordre de 16 bits en moyenne. Le rendu d'un glyphe complexe avec anti-aliasing sous-pixel produit des empreintes qui varient selon le driver GPU, la version d'OS, le sous-ensemble de polices et le profil colorimétrique. La nouveauté 2026 : les navigateurs exposent désormais assez de capacités WebGPU pour que, même quand le canvas 2D est randomisé, le canvas 3D puisse être interrogé dans le même but.

Le fingerprinting WebGL suit de près, de l'ordre de 14 bits. L'extension WEBGL_debug_renderer_info expose les chaînes vendeur et renderer non masquées sur tous les navigateurs desktop sauf Brave Shields en mode strict et Tor Browser. Même avec cette extension bloquée, l'interrogation de MAX_TEXTURE_SIZE, ALIASED_LINE_WIDTH_RANGE et de la liste des extensions supportées peut reconstruire le modèle GPU avec une grande fiabilité.

Le fingerprinting audio via OfflineAudioContext donne de l'ordre de 11 à 12 bits dans la recherche publiée. Une courte passe d'oscillateur dans un compresseur dynamique produit des valeurs de buffer dépendantes du sous-système audio et de l'implémentation flottante matérielle. Vecteur connu depuis 2016 et stable d'une version à l'autre car le modifier casserait le pipeline audio.

L'énumération de polices est la surprise de 2026. L'énumération directe a été dépréciée, mais la détection indirecte via le rendu CSS d'un ensemble de glyphes connu discrimine encore un nombre de bits non négligeable. L'API Local Fonts, derrière une invite de permission, fuit une grande quantité d'entropie si elle est accordée — ce qui explique qu'aucun navigateur orienté vie privée ne l'expose.

Hardware concurrency et device memory apportent ensemble quelques bits. Les valeurs sont grossières (navigator.hardwareConcurrency est arrondi, deviceMemory ne renvoie qu'un de cinq paliers), mais combinées avec la résolution d'écran et le pixel ratio elles réduisent significativement la cohorte.

User-Agent Client Hints est la solution post-User-Agent poussée par Chrome en 2022, désormais stabilisée. Les hints à haute entropie (version complète, architecture, modèle) sont conditionnés à une requête serveur, mais ils fuient dès que le serveur les demande — ce que la plupart des sites font.

Deux vecteurs émergents méritent d'être signalés. Le timing de shaders GPU exploite les différences de microbenchmarks entre familles GPU, avec des travaux académiques récents rapportant une entropie supplémentaire non bloquée par les heuristiques anti-fingerprinting actuelles. Le fingerprinting TLS niveau réseau (JA4) opère sous le navigateur et est invisible aux extensions ; il discrimine navigateurs, versions et plateformes avec une précision très élevée.

Le paysage défensif se divise en deux stratégies. L'approche randomisation (Brave, LibreWolf) injecte un bruit par session dans les sorties canvas, audio et WebGL. Efficace pour les sessions isolées mais fragile sur des visites longues si la graine fuit. L'approche uniformisation (Tor Browser, Mullvad Browser) tente de faire produire à tous les utilisateurs la même empreinte. Efficace seulement si l'on accepte les contraintes : taille de fenêtre fixe, jeu de polices fixe, compromis JIT, et zéro extension. Il n'y a pas de troisième voie.

Mode Isolement, quatre ans après

Apple a livré le mode Isolement avec iOS 16 en 2022, ciblant journalistes, activistes et personnes exposées à des adversaires de niveau étatique. Quatre ans plus tard, la fonctionnalité est plus ambitieuse, plus utilisable, et discrètement disponible sur macOS et iPadOS aussi. Les compromis Safari originaux que nous avons documentés dans notre analyse antérieure de la désactivation JIT sous iOS 16 restent valides, mais l'empreinte fonctionnelle a substantiellement augmenté.

Le périmètre de 2022 couvrait Safari (JIT désactivé, plusieurs API bloquées), Messages (aperçus de liens désactivés, la plupart des types de pièces jointes bloqués), les connexions filaires (nécessitant un déverrouillage) et les profils de configuration (interdits d'installation). Le périmètre 2026 ajoute : vérification du volume système signé sur macOS, attestation complète des conditions réseau sur iPadOS, application de la transparence des certificats au niveau OS, pile WiFi durcie qui refuse WPA2 dans certaines conditions, et contraintes plus strictes sur l'appairage Bluetooth.

Côté navigateur spécifiquement, la configuration JIT-off a mûri. JavaScript est nettement plus lent car JavaScriptCore retombe sur son chemin interpréteur, mais la liste des sites cassés a rétréci au fil du temps. Le plus gros gain vient des fallbacks WebAssembly : Figma, Photopea et la plupart des outils PDF in-browser livrent désormais des chemins JavaScript qui s'activent quand WASM n'est pas disponible.

Le mode Isolement est aussi devenu copiable. Firefox a livré un preset "Resist Fingerprinting" en 2024 (privacy.resistFingerprinting = true) qui approxime les protections côté navigateur, sans l'étape JIT-off. Mullvad Browser embarque ces mêmes défauts plus les patches anti-fingerprinting de Tor Browser. Sur Android, GrapheneOS a introduit en 2025 ses propres restrictions de sandbox par application qui visent les mêmes objectifs que le durcissement macOS.

L'évaluation honnête est que le mode Isolement est l'une des rares fonctionnalités de confidentialité d'OS grand public qui mérite d'être activée pour un modèle de menace sérieux. Le coût est réel (une petite part de sites dégradés, JavaScript nettement plus lent) mais borné. Nous le recommandons pour tout journaliste, activiste, avocat ou personne au profil à risque élevé. Nous ne le recommandons pas comme défaut pour un usage général.

Comparatif des navigateurs orientés vie privée

Cinq navigateurs méritent d'être évalués en 2026 : Brave, Tor Browser, Mullvad Browser, LibreWolf, et Firefox avec durcissement manuel. Nous les évaluons sur sept critères : surface de fingerprinting, protection de l'identité réseau, qualité du bloqueur, performance, ergonomie, cadence de mise à jour, et support des extensions.

Brave offre la meilleure expérience par défaut pour la majorité des utilisateurs. Les Shields bloquent trackers et publicités, le fingerprinting est randomisé par session par origine, le stockage tiers est partitionné. Il utilise Chromium sous le capot — performance équivalente à Chrome. Compromis : la société a eu des controverses de gouvernance, Brave Rewards ajoute du tracking d'attention même désactivé (la surface est présente, juste inactive), et certaines API Chromium fuient plus d'entropie que leurs équivalents Firefox. Pour la majorité, il reste le navigateur orienté vie privée le plus fort en défaut.

Tor Browser est l'étalon-or pour l'identité réseau et l'anti-fingerprinting par uniformisation. Il route le trafic via trois relais, impose une taille de fenêtre fixe, livre un jeu de polices fixe, et désactive le JIT (JavaScript plus lent, même compromis que le mode Isolement). C'est aussi le navigateur le plus lent de loin et le plus inconfortable pour un usage quotidien. À réserver aux tâches sensibles : contact de source, recherche anonyme, régions censurées.

Mullvad Browser, sorti en 2023 en partenariat avec le Tor Project, c'est Tor Browser sans Tor. Mêmes patches anti-fingerprinting, même taille de fenêtre fixe, même JIT désactivé, mais sur votre connexion réseau habituelle (ou un VPN). Pour qui veut un durcissement de navigateur niveau Tor sans la latence de l'onion routing, c'est la meilleure option. Performance correcte, cadence de mise à jour raisonnable (toutes les deux à trois semaines), et ergonomie quasi identique à Firefox.

LibreWolf est un build Firefox durci avec des défauts sains : Resist Fingerprinting activé, télémétrie désactivée, DNS-over-HTTPS pré-configuré vers un résolveur respectant la vie privée, uBlock Origin pré-installé. C'est l'option la moins friction pour les utilisateurs desktop qui veulent un Firefox propre sans passer une heure dans about:config. Inconvénient : le retard de mise à jour, typiquement 2 à 5 jours derrière les sorties Firefox upstream — une petite fenêtre d'exposition pendant les patches CVE critiques.

Firefox lui-même, avec un réglage manuel, reste le navigateur orienté vie privée le plus flexible. Mettez privacy.resistFingerprinting = true, network.trr.mode = 3 pour DoH strict, installez uBlock Origin complet et NoScript, désactivez la télémétrie — et vous approchez de LibreWolf avec les derniers patches. Le coût est le travail manuel et le risque de mauvaise configuration.

Nous n'incluons pas les forks Chromium durcis comme Ungoogled Chromium dans la comparaison principale car leur cadence de mise à jour tend à retarder nettement sur les mises à jour de sécurité upstream Chromium, ce qui les rend plus risqués pour un usage quotidien en 2026 — alors que LibreWolf ne retarde typiquement que de quelques jours sur Firefox.

Notre matrice de recommandation pour la plupart des lecteurs : Brave pour la navigation quotidienne, Mullvad Browser pour la recherche sensible, Tor Browser quand l'anonymat est l'objectif primaire, LibreWolf ou Firefox avec durcissement manuel pour qui préfère l'écosystème Firefox.

Panorama DNS-over-HTTPS et DNS-over-TLS

Le DNS est la couche que la majorité des utilisateurs zappe, et la première qu'un opérateur réseau curieux regarde. En 2026, le DNS chiffré est enfin un sujet réglé : DoH et DoT sont déployés assez largement pour qu'une requête DNS en clair soit une erreur de configuration, pas un défaut.

Le choix entre DoH et DoT dépend de l'emplacement du résolveur. DoH (RFC 8484) tourne sur le port 443 et est indistinguable d'un trafic HTTPS classique au niveau réseau. Plus difficile à bloquer — d'où le défaut des navigateurs mobiles et des appareils grand public. DoT (RFC 7858) tourne sur le port 853, trivialement identifiable. Pour les résolveurs au niveau infrastructure, DoT est plus propre et plus simple à monitorer ; pour les appareils clients, DoH gagne en accessibilité.

Le paysage des résolveurs s'est agrégé autour de quatre acteurs sérieux :

Cloudflare 1.1.1.1 : la plus grosse infrastructure, la latence la plus faible dans la plupart des régions, déploiement anycast avec des temps de réponse autour de 15 ms. Politique de confidentialité raisonnable (rétention 24h, pas de revente), mais le positionnement de Cloudflare dans l'écosystème internet (CDN, WAF, Workers) fait que pour certains utilisateurs le choix de résolveur n'est pas le goulot.

Quad9 (9.9.9.9) : basé en Suisse, géré par une association, inclut le blocage de malware par défaut. Un peu plus lent que Cloudflare, avec une latence médiane autour de 25 ms en Europe et sous 40 ms en Amérique du Nord. Les garanties de confidentialité les plus fortes parmi les résolveurs majeurs : pas de log d'IP en bord de résolveur, uniquement des compteurs agrégés.

NextDNS : pas un résolveur public mais un service à compte personnel avec logging et filtrage étendus. Bon ajustement pour qui veut des politiques de filtrage par appareil, de l'analytics et des décisions de blocage par requête. Le compromis : NextDNS voit votre log de requêtes complet — vous lui confiez ce qu'un résolveur classique jette.

Résolveurs custom (Unbound, Pi-hole + Unbound, Knot Resolver, dnscrypt-proxy) : la posture de confidentialité la plus forte est votre propre résolveur faisant de la résolution itérative vers les serveurs autoritaires. Aucun tiers ne voit le flux complet. Coût opérationnel : vous maintenez le résolveur, vous gérez DNSSEC, vous déboguez les cas limites. Recommandé pour les utilisateurs techniques avec un homelab ou un VPS, pas pour le grand public.

En 2026, trois patterns de déploiement méritent documentation :

1. DNS uniquement au niveau OS, DoH navigateur désactivé. Le résolveur OS gère tout. Le plus prévisible. Recommandation par défaut.
2. DoH navigateur + DNS OS (résolveurs différents). Le navigateur voit un set de résolutions, l'OS un autre. Utile pour la compartimentation mais confus en opération.
3. DNS via votre VPN avec le résolveur VPN faisant des lookups itératifs. La combinaison la plus forte si le VPN est de confiance et sans logs. Mullvad et IVPN offrent les deux.

Une note sur Encrypted ClientHello (ECH) : mi-2026, ECH est déployé par défaut sur les origines derrière Cloudflare et honoré par Firefox 128+, Chrome 122+ (derrière un flag) et Safari 18. ECH bouche la fuite SNI que DoH seul n'adresse pas. Activez-le si votre navigateur le supporte.

Méthodologie d'audit des extensions

Manifest V3 a remodelé le paysage des extensions. La date limite Chrome pour la fin du support MV2 mi-2024 a forcé chaque extension de confidentialité à soit livrer un build MV3 aux capacités réduites, soit rester Firefox-only. Nous auditons les extensions sur cinq axes : capacité sous MV3, mécanisme de mise à jour des blocklists, filtrage dynamique vs statique, support du démasquage CNAME, et posture confidentialité de l'extension elle-même (télémétrie, modèles sponsors, collecte de données).

uBlock Origin (complet) : build MV2 Firefox uniquement. Référence absolue. Supporte le filtrage dynamique, les réglages avancés, le démasquage CNAME, les listes de filtres custom avec regex. Si vous pouvez utiliser Firefox, utilisez uBO complet.

uBlock Origin Lite : build MV3, disponible sur Chromium et Firefox. Environ 85 à 90% aussi efficace que uBO complet sur le jeu EasyList standard. Pas de filtrage dynamique, pas de démasquage CNAME, pas de règles avancées par site. Acceptable pour les utilisateurs Chromium ; suboptimal sur Firefox où la version complète reste disponible.

NoScript : contrôle JavaScript par origine. Disponible sur Firefox et Chromium avec support MV3. La meilleure défense contre le fingerprinting drive-by si vous acceptez le coût UX d'autoriser les scripts par origine. Nous l'utilisons sur les profils durcis, pas sur les profils quotidiens.

Privacy Badger : blocage heuristique de trackers de l'EFF. Compatible MV3. Bon complément à uBO mais pas un remplaçant. Sa force est d'apprendre du comportement de tracking observé ; sa faiblesse, qu'il n'attrape que les trackers qui ont déjà tracké au moins trois fois.

Cookie AutoDelete et équivalents : suppression de cookies par container ou par règles. Largement redondant en 2026 puisque le partitionnement de stockage au niveau navigateur atteint le même objectif plus fiablement.

ClearURLs : retire les paramètres de tracking des URL. Léger, utile, aucun inconvénient réel. Recommandé.

Extensions à éviter : toute extension dont le business model est la collecte de données (plusieurs ad-blockers populaires l'ont), toute extension exigeant un compte et la synchronisation cloud de la navigation, toute extension à permissions larges et historique de propriété opaque. Les cas 2024 d'extensions autrefois fiables revendues à des courtiers de données doivent rester un rappel permanent : les permissions d'extension sont une surface d'attaque, pas seulement une surface fonctionnelle.

Méthode d'audit reproductible que chacun peut appliquer : exécuter chaque extension sur un profil propre, capturer les requêtes HTTP avec un proxy transparent, comparer le graphe de requêtes au même profil sans extension, puis examiner ce que l'extension a changé et les données qu'elle a renvoyées.

Crochets de confidentialité au niveau OS

Le durcissement du navigateur est nécessaire mais pas suffisant. L'OS voit plus que le navigateur et fuit plus que la plupart des utilisateurs ne s'en rendent compte. Trois plateformes, trois jeux de crochets différents.

macOS. Apple fait le gros du travail par défaut — sandboxing, permissions TCC, volume système signé, signature de code — mais quatre interrupteurs valent d'être basculés. Désactivez le partage d'analytics (Réglages → Confidentialité → Analyse). Désactivez les suggestions Siri pour Spotlight. Réglez la confidentialité de Safari sur "Empêcher le suivi intersite" + "Masquer l'adresse IP" (qui passe par iCloud Private Relay si vous avez iCloud+). Pour les profils à risque élevé, activez le mode Isolement au niveau OS — il se propage à tous les navigateurs et à Messages. Côté réseau, configurez un résolveur DNS personnalisé dans les préférences Réseau plutôt que de vous appuyer uniquement sur le DoH navigateur ; ça évite la divergence DNS par application.

Linux. Les défauts varient par distribution. Sur la plupart des distros desktop (Fedora, Ubuntu, Debian) le navigateur par défaut livre télémétrie activée et DoH désactivé. La configuration la plus propre : installer Mullvad Browser ou LibreWolf, configurer systemd-resolved avec un résolveur DoT, et utiliser un namespace réseau ou un profil firejail pour sandboxer le navigateur. Pour les profils à haut risque, Qubes OS avec des VM de navigateur jetables reste la réponse la plus rigoureuse en 2026 ; c'est aussi la plus exigeante en opération. Wayland sur X11 prévient une catégorie d'attaque keylogging entre applications ; si votre distribution est encore par défaut sur X11, la migration vaut le coup.

Windows. Le défaut le plus exposé des trois. La télémétrie tourne fort et n'est pas entièrement désactivable depuis l'interface graphique — utilisez Group Policy ou PowerShell pour la réduire. Désactivez l'identifiant publicitaire (Paramètres → Confidentialité → Général). Désactivez "Autoriser les applications à utiliser mon identifiant publicitaire". Pour le choix de navigateur, Brave ou Firefox avec le durcissement ci-dessus. Côté DNS, Windows 11 supporte le DoH nativement (Paramètres → Réseau → Attribution serveur DNS → DoH "Activé" avec un serveur manuel), ce qui est la façon la plus propre de garantir que toutes les applications partagent un seul résolveur chiffré. Le plus gros gain de durcissement sur Windows en 2026, c'est de désactiver Recall (l'indexation OS de captures d'écran introduite en 2024) si elle est activée sur votre build ; elle indexe tout ce que vous voyez, sessions privées incluses.

Sur les trois plateformes, la règle est la même : chaque couche capable de fuir doit être configurée explicitement. Les défauts évoluent dans le temps, parfois silencieusement. Auditez à chaque mise à jour majeure.

Ce qui a changé dans les moteurs de navigateur en 2026

Un VPN connecté, ici sur un ordinateur portable, masque votre IP et votre chemin DNS au réseau — mais ne fait rien contre le fingerprinting ou les cookies tiers, raison pour laquelle la confidentialité en 2026 est un problème multicouche, pas une affaire d'une seule app.

La plus grande nouvelle au niveau moteur de ces deux ans est celle qui n'a pas eu lieu : Chrome n'a jamais fini de supprimer les cookies tiers. Google avait passé des années à préparer une dépréciation « Privacy Sandbox », mais en juillet 2024, il a annoncé qu'il ne forcerait pas la suppression des cookies tiers et garderait plutôt un modèle de choix utilisateur. En avril 2025, il a confirmé qu'il ne lancerait même pas d'écran d'opt-out dédié. Le résultat pratique pour 2026 est inchangé par rapport à l'ouverture de ce rapport : les cookies tiers existent toujours par défaut dans Chrome, tandis que Safari, Firefox et Brave les bloquent — donc la vraie surface de tracking continue de glisser vers le fingerprinting, exactement les vecteurs couverts par notre guide état de l'art du fingerprinting.

L'autre dossier réglé, c'est Manifest V3. Chrome a achevé l'extinction de Manifest V2 pour le grand public sur 2024-2025, raison pour laquelle uBlock Origin complet est désormais une proposition réservée à Firefox et uBlock Origin Lite la réalité sur Chromium. C'est un changement structurel durable, pas temporaire : le filtrage dynamique et le démasquage CNAME que MV2 permettait ne reviendront pas sur Chromium. Pour qui traite le blocage de contenu comme un contrôle de confidentialité et non un confort, le choix du moteur (famille Firefox vs famille Chromium) est désormais le choix de capacité de blocage.

Quelques glissements 2026 plus petits mais réels méritent d'être notés. Encrypted ClientHello (ECH) est passé d'expérimental à largement disponible sur les origines derrière Cloudflare et est honoré par les versions actuelles de Firefox et Safari, fermant la fuite SNI que le DoH seul laisse ouverte. Le State Partitioning / Total Cookie Protection est désormais le défaut de Firefox plutôt qu'une option, donc la corrélation de stockage cross-site est contenue sans configuration manuelle. Et Brave continue de livrer la randomisation des empreintes activée par défaut, ce qui en fait le défaut privacy le moins contraignant pour qui ne changera pas de moteur.

Aucun de ces changements ne modifie la conclusion centrale de ce rapport. Le tracking par stockage est de plus en plus contenu ; le fingerprinting et l'identité au niveau TLS restent les fronts non résolus. La nouvelle moteur de 2026 est surtout une confirmation que la menace s'est déplacée là où nous l'avions dit.

Défenses comparées : quelle couche arrête quoi

Les conseils de confidentialité échouent le plus souvent parce qu'un seul outil est vendu comme une solution complète. Il ne l'est pas. Chaque défense couvre des fronts précis et en laisse d'autres totalement exposés. Le tableau ci-dessous mappe les défenses courantes contre les quatre fronts de tracking pour voir les trous avant de se reposer sur une seule couche.

Deux règles de lecture rendent le tableau actionnable. D'abord, aucune ligne n'est verte sur les quatre colonnes — même Tor laisse une surface de capteurs résiduelle sur mobile, et un VPN ne fait rien pour le moteur de navigateur. Ensuite, les colonnes sont additives : on empile une défense réseau (VPN ou DNS chiffré) avec une défense moteur (un navigateur privacy) parce qu'elles protègent des fronts orthogonaux. C'est pourquoi notre guide VPN pour la vie privée du navigateur traite le VPN comme une couche d'une pile plutôt qu'un correctif autonome, et pourquoi le guide des implémentations DNS-over-HTTPS accompagne le durcissement navigateur sans le remplacer.

La conclusion honnête : choisissez une défense par front, acceptez qu'aucun produit ne couvre les quatre, et revérifiez la pile à chaque sortie majeure d'OS et de navigateur car les défauts dérivent.

Nos recommandations pour 2026

Une matrice de décision vaut mieux qu'une recommandation unique. Identifiez-vous sur un des quatre profils et agissez en conséquence.

Profil A — Utilisateur grand public soucieux de sa vie privée. Vous lisez les news, vous utilisez du streaming, vous faites de la banque en ligne, vous n'avez pas d'adversaire spécifique. Utilisez Brave sur votre appareil quotidien avec Shields par défaut. Configurez le DNS OS sur Cloudflare 1.1.1.1 ou Quad9 en DoH. Utilisez un VPN réputé uniquement en déplacement et sur WiFi public. Installez uBlock Origin complet si vous pouvez passer à Firefox ; sinon uBO Lite + ClearURLs sur Brave. N'activez pas le mode Isolement. N'installez pas NoScript. Coût de maintenance : 10 minutes par version d'OS.

Profil B — Travailleur tech, développeur, employeur sensible. Votre métier ou votre employeur font de vous une cible à plus forte valeur. Utilisez Firefox avec privacy.resistFingerprinting = true, DNS-over-HTTPS en mode strict, uBlock Origin, NoScript en liste d'autorisation par origine, et un VPN actif en continu. Utilisez Mullvad Browser pour la navigation personnelle où la télémétrie du travail serait problématique. Auditez vos extensions installées tous les six mois. Coût de maintenance : environ 30 minutes par mois.

Profil C — Journaliste, activiste, avocat avec dossiers sensibles. Vous gérez du matériel source ou client qui requiert une modélisation de menace réelle. Utilisez Tor Browser pour le contact de source et la recherche sensible. Utilisez Mullvad Browser pour tout ce qui est sensible mais ne requiert pas d'anonymat. Activez le mode Isolement sur iPhone et Mac. Utilisez Signal pour la messagerie. Compartimentez : un appareil dédié au travail à risque élevé n'est pas de la paranoïa, c'est de l'hygiène. Coût de maintenance : environ 2 heures par mois plus une revue annuelle.

Profil D — Ingénieur opérant un produit respectueux de la vie privée. Vous construisez quelque chose pour des utilisateurs qui s'en soucient. Au-delà de votre propre posture, vous avez des responsabilités. Par défaut, analytics first-party avec troncature d'IP. Rendu côté serveur quand possible pour réduire le script client. Audit des scripts tiers trimestriel. Publiez une politique de confidentialité claire qui reflète les flux de données réels. Adoptez des règles CSP qui empêchent l'injection de trackers tiers post-déploiement. La maintenance fait partie de la pratique d'ingénierie, pas d'un extra.

Pour qui veut un utilitaire d'extension unique utile quel que soit le profil, notre référence de bookmarklets couvre quelques outils en un clic (snapshot archive.org instantané, test résolveur DNS instantané, désactivation JS instantanée) qui complètent n'importe lequel des quatre profils.

Dans tous les profils, le mode d'échec est le même : configurer une fois, oublier deux ans, prendre du retard sur les défauts. La posture de confidentialité est une pratique de maintenance, pas une configuration unique.

Méthodologie et sources

Ce pillar est une synthèse de recherche publiée, de documentation éditeur et de spécifications de standards. Nous n'exploitons aucun panel de mesure privé ; chaque affirmation quantitative est sourcée ou présentée comme approximative.

Chiffres d'entropie fingerprinting. Les valeurs d'entropie de ce rapport proviennent de la recherche publique — principalement l'étude EFF « How Unique Is Your Web Browser? » et le projet Cover Your Tracks, plus la littérature publiée sur le fingerprinting. Nous les présentons comme approximatives (canvas de l'ordre de 16 bits, audio de l'ordre de 11 à 12 bits), pas comme des décimales que nous aurions mesurées nous-mêmes.

Comparaison des navigateurs. L'évaluation compare les versions stables actuelles de Brave, Tor Browser, Mullvad Browser, LibreWolf et Firefox à partir de leurs fonctionnalités publiées et de leurs défauts documentés, ainsi que des benchmarks publics standards (Speedometer, JetStream) que chacun peut lancer sur son propre matériel. Quand nous décrivons des compromis de performance (par exemple le JIT-off plus lent), la direction est bien documentée ; nous ne publions pas de chiffres de benchmark propriétaires.

Breakage en mode Isolement. L'affirmation qualitative — qu'une part faible et décroissante des sites grand public se dégrade sous mode Isolement — reflète la documentation Apple et le comportement largement rapporté. Nous n'y attachons aucun pourcentage first-party précis.

Latence des résolveurs DNS. Les comparaisons de latence sont approximatives et directionnelles (Cloudflare généralement le plus rapide, Quad9 un peu plus lent, variation régionale attendue). Chacun peut mesurer sa propre latence avec des outils publics de benchmark DNS ; nous ne publions pas de jeu de données de sonde propriétaire.

Ce que nous ne couvrons pas directement. Les chiffres de fingerprinting TLS JA4 viennent de recherches publiées ; nous n'avons fait aucune mesure TLS propre. Le comportement de Recall sur Windows 11 reflète le comportement documenté 2024 plus les patches 2025 ; nous n'avons pas testé Recall directement. Les suites TLS résistantes au quantique ne sont pas couvertes car le déploiement reste trop irrégulier pour être utilement décrit en 2026.

Nous visons à garder ce rapport exact comme instantané de mi-2026 et à rendre la vérification bon marché par rapport aux sources publiques citées. Si un chiffre ici contredit une mesure publiée plus récente, considérez la source la plus récente comme faisant autorité.

Pour des plongées plus profondes dans les vecteurs spécifiques mentionnés ci-dessus, voir notre guide état de l'art du fingerprinting de navigateur qui couvre chaque vecteur actif et passif avec mesures d'entropie de la recherche publique sur le fingerprinting. Pour passer de la théorie au choix concret d'un navigateur, notre comparatif Brave vs Tor vs Mullvad Browser vs LibreWolf 2026 tranche entre randomisation et uniformité selon votre modèle de menace. Pour une plongée existante sur une fonctionnalité unique, notre analyse du mode Isolement iOS déroule le mécanisme de désactivation JIT de bout en bout. Pour des utilitaires légers in-browser complémentaires à toute posture de confidentialité, voir notre collection de bookmarklets, notre outil de test d'empreinte navigateur pour mesurer votre propre exposition, et notre vérificateur d'en-têtes de sécurité HTTP pour auditer vos sites.

Guides associés : Étendre la tablette reMarkable avec Toltec et SSH (2026) et Benchmarks WebKit JIT.