Un internaute découvre un traceur audio inaudible sur le site AliExpress

Les cookies, ces petits traceurs qui nous suivent de site en site, sont sur le déclin. Navigateurs et régulateurs leur mènent, en effet, la vie dure depuis des années, et des mesures comme le RGPD européen n'ont rien arrangé pour leur réputation. Les plateformes qui veulent malgré tout pister leurs visiteurs cherchent donc d'autres méthodes pour nous pister, et certaines peuvent s'avérer… surprenantes.

À l'image d'AliExpress, qui se servirait du son de votre ordinateur. C'est en tout cas ce qu'affirme un internaute, qui aurait été confronté à un « problème étrange » : son casque Bluetooth, connecté à la fois à son ordinateur et à son téléphone, refusait de basculer correctement de l'un à l'autre quand il était sur le site du géant chinois de l'e-commerce.

Un traceur silencieux

Rien d'anormal en soi : quand un casque est relié à deux machines, la priorité est donnée à l'appareil qui diffuse quelque chose. Or, aucune vidéo ni aucune musique ne tournait sur l'ordinateur de notre internaute. Seule la fermeture de l'onglet d'AliExpress réglait le problème, selon lui. En passant le code de la page au crible, il aurait fini par repérer deux scripts qui ouvriraient chacun un canal audio dès que la page est inutilisée quelques secondes.

Le mécanisme repose sur WebAudio, un système présent dans tous les navigateurs actuels pour créer et manipuler des contenus audio. AliExpress l'utilise pour générer un son dont le volume est réglé sur zéro, de telle sorte qu'aucun visiteur ne peut l'entendre. Mais alors, à quoi cela peut-il bien servir ?

Inaudible ou pas, le site pourrait tout de même capter des variations propres à chaque machine, en fonction du processeur, du système d'exploitation, du navigateur ou des pilotes audio. Ajoutez la résolution de l'écran et les polices installées, et vous obtenez une signature quasi unique pour chaque utilisateur, même quand les cookies sont désactivés ou supprimés. C'est astucieux, mais aussi un peu terrifiant.

Des parades existent déjà

Bonne nouvelle : il est possible de se prémunir contre cette technique de suivi. Le navigateur Brave, par exemple, a profité de l'affaire pour rappeler qu'il fausse par défaut les valeurs qui peuvent être obtenues via WebAudio. Du côté de Mozilla, un développeur affirme que cette technique d'empreinte serait déjà largement neutralisée sur Firefox, et certaines extensions comme uBlock Origin permettent de bloquer les deux scripts en cause ici.

Ni AliExpress, ni Alibaba, n'ont réagi publiquement à ces révélations. Ce dispositif semble toutefois appartenir à un système antifraude, reste à voir ce qu'il en est vraiment.

En attendant, si votre casque Bluetooth fait des siennes, du moins plus que d'habitude, pensez à fermer certains onglets. Qui sait, peut-être qu'une firme essaie de vous tracer d'une façon peu conventionnelle.

Source : Laserphile