Qu’est-ce que cela signifie ?
Apple actualise ses règles contre les cookies tiers : désormais, ils sont bloqués par défaut. Un changement qui entraîne par ailleurs une cascade de bonnes nouvelles pour l’internaute.
C’était en 2017. Apple enclenchait un nouveau programme destiné à accroître le degré de confidentialité des internautes quand ils naviguent sur le web.
Appelé « prévention du suivi intelligent », ou Intelligent Tracking Prevention (ITP), ce mécanisme s’attaque aux cookies tiers, c’est-à-dire ces cookies qui sont déposés par une entreprise tierce, comme une régie publicitaire, qui est distincte du site visité par le public. Ces cookies tiers servent à produire de la publicité ciblée, en suivant l’internaute de site en site.
À l’époque, la mise en place de ce nouveau dispositif a porté un rude coup au marché de la publicité en ligne, tout particulièrement pour Criteo, le spécialiste français du reciblage publicitaire. En effet, la règle établie par Apple était qu’au bout de 24 heures, les cookies tiers d’un site étaient effacés si l’internaute n’y était pas retourné. Mais désormais, la vis sera encore plus resserrée.
·Tous les cookies tiers bloqués
Dans un message publié le 24 mars sur le site dédié à WebKit, le moteur de rendu HTML qui est au cœur du navigateur web d’Apple, il est annoncé que Safari bloque dorénavant par défaut les cookies tiers. C’est John Wilander, l’ingénieur derrière ITP, qui a annoncé la nouvelle, tout en notant que la bascule n’est en fait pas si spectaculaire que ça… car parce Apple bloque déjà beaucoup de choses.
« Cela peut sembler constituer un plus grand changement qu’il ne l’est en réalité. Mais nous avons ajouté tellement de restrictions à ITP depuis sa publication initiale en 2017 que nous en sommes maintenant à un point où la plupart des cookies tiers sont déjà bloqués dans Safari », explique-t-il. Cela étant, il était temps de boucher les derniers interstices dans lesquels pouvaient encore se glisser les cookies tiers.
La mise à jour d’ITP ne règle pas seulement le cas des cookies tiers. Elle a aussi une réelle incidence sur d’autres problématiques, que John Willander évoque sur Twitter ainsi que dans son message. Par exemple, « le blocage complet des cookies tiers désactive une fois pour toutes la prise d’empreintes de connexion (login fingerprinting), un problème sur le web décrit il y a déjà 12 ans ». Sans cette protection, les outils de pistage sont capables de savoir sur quels sites web vous êtes connecté et l’utiliser comme empreinte digitale pour vous repérer parmi d’autres internautes.
Autre situation que règle la mise à jour d’ITP : les falsifications de demandes entre sites. « Il s’agit là d’une des premières failles de sécurité du web, qui a fait l’objet de discussions au sein de communautés comme l’Open Web Application Security Project pendant plus de dix ans », écrit l’ingénieur. Enfin, tout le contenu stockable par une inscription de script est soumis dès à présent à l’expiration de 7 jours en vigueur pour les cookies.
· Montrer la voie
« Il s’agit d’une amélioration significative pour la protection de la vie privée, puisqu’elle supprime tout sentiment d’exception ou un peu de suivi intersite est autorisé », commente John Wilander, qui ne manque pas de faire remarquer qu’à l’heure actuelle, Safari est le seul navigateur de premier plan à appliquer une politique aussi stricte. Seul Tor Browser fait de même, mais son usage est modeste.
Apple note toutefois que l’écosystème évolue petit à petit : l’entreprise américaine cite son concurrent Brave, qui inclut toutefois encore quelques exceptions, mais surtout son rival systémique : Google. La firme de Mountain View entend procéder à une bascule similaire en 2022 avec Chrome — ce qui ne mettrait pas fin à proprement parler à la publicité ciblée, car Google devrait continuer à en tirer profit par ailleurs.
Quant à Firefox, même s’il n’est pas cité nommément, il suit aussi cette trajectoire. Tous ces navigateurs vont en tout cas pouvoir bénéficier d’un retour d’expérience d’Apple, car l’entreprise américaine déclare qu’elle transmettra ses observations au W3C — une instance qui s’occupe de la standardisation du web.
