Mozilla détaille les protections de Firefox contre le fingerprinting : que tester sur vos sites ?

Dans des travaux présentés le 10 novembre 2026, Mozilla explique comment Firefox rend ses utilisateurs plus difficiles à distinguer par fingerprinting, une méthode de suivi qui peut fonctionner sans cookies. Selon cette recherche, limiter un ensemble relativement restreint de signaux très distinctifs du navigateur peut fortement réduire la capacité à reconnaître une personne d’un site à l’autre.

Pour les développeurs web, il ne s’agit pas d’un nouveau réglage général de confidentialité activé cette semaine. Mozilla décrit des protections issues de ses recherches et déployées progressivement ; les plus récentes parmi celles évaluées dans le rapport sont arrivées dans Firefox 145. Certaines s’appliquent par défaut en navigation normale, tandis que d’autres sont disponibles en navigation privée ou avec le niveau Strict de la protection renforcée contre le pistage.

Ce que recherche un script de fingerprinting

Un script de fingerprinting peut combiner des informations sur les dimensions de l’écran, les polices installées, le rendu graphique, le comportement audio et le nombre de cœurs logiques du processeur. Chaque détail peut sembler anodin. Ensemble, ces valeurs peuvent devenir assez distinctives pour suivre une personne entre plusieurs sites, même sans cookie enregistré.

La recherche de Mozilla s’appuie sur des mesures provenant de près de 25 millions d’utilisateurs de Firefox, avec des protections supplémentaires pour les données de l’étude. Le projet a étudié les attributs qui contribuent le plus à distinguer les navigateurs et la manière de réduire leur exposition sans casser les applications web ordinaires.

Mozilla donne plusieurs exemples :

• Firefox peut limiter les informations sur la résolution de l’écran pour ne pas révéler la taille et la position exactes de la barre des tâches ou du dock du système.
• Le nombre de processeurs logiques exposé aux scripts peut être regroupé dans des valeurs comme quatre ou huit, au lieu de refléter exactement le matériel.
• La recherche a conduit à des résultats plus uniformes pour le rendu des images, Web Audio et certaines opérations mathématiques sous Android.

Selon Mozilla, ces mesures réduisent l’unicité des empreintes et agrandissent les groupes de navigateurs que les scripts de suivi perçoivent comme semblables. Elles ne rendent pas le fingerprinting impossible. Les acteurs du pistage peuvent s’adapter, et les protections doivent être évaluées au regard de la compatibilité des sites.

Ce que cela change pour les équipes web

Une application web ne doit pas supposer que les informations matérielles ou d’affichage exposées par le navigateur sont des identifiants stables et exacts. Pour une mise en page adaptative, mesurez la zone d’affichage disponible et utilisez les possibilités de CSS plutôt que de déduire le modèle d’appareil. Pour répartir une charge de calcul, ne traitez pas navigator.hardwareConcurrency comme un inventaire permanent et précis du processeur.

Pour les fonctions graphiques et audio, testez la fonctionnalité ou le résultat dont votre application a réellement besoin, plutôt que d’attendre un résultat propre à chaque appareil identique octet par octet. Soyez particulièrement attentifs aux produits tiers de lutte contre les abus, d’analyse d’audience ou d’identification qui dépendent des attributs du navigateur : un identifiant déduit de ces attributs peut se comporter différemment selon le mode de navigation. La prévention des abus doit employer des mécanismes adaptés au risque et des signaux respectueux de la vie privée, sans dépendre silencieusement de l’unicité d’une empreinte.

Notre guide d’inspection des requêtes réseau du navigateur explique comment examiner les requêtes des scripts et services intégrés. Cette inspection ne suffit pas à prouver l’absence de fingerprinting : un script peut lire des propriétés localement avant d’en envoyer une valeur. Elle permet toutefois de voir où partent les données et de repérer des connexions inattendues à des tiers.

Quels cas tester dans les navigateurs

Testez votre site dans une fenêtre Firefox normale, une fenêtre privée et avec le niveau Strict de la protection renforcée contre le pistage. Vérifiez qu’une fonctionnalité gère correctement un attribut arrondi, uniformisé ou indisponible. Comparez le comportement avec d’autres navigateurs sans supposer qu’ils exposent tous les mêmes valeurs matérielles.

Pour comprendre les données que les sites conservent dans le navigateur, consultez notre guide sur localStorage, sessionStorage et les cookies. Le fingerprinting est un mécanisme distinct : effacer les valeurs stockées n’empêche pas forcément un script de reconnaître à nouveau le même navigateur.

Notre actualité sur le blocage par Safari du suivi par rapprochement d’identités fondé sur l’adresse e-mail présente une autre manière de relier des identités entre plusieurs visites. Lors de la revue de vos intégrations, examinez à la fois les signaux issus du navigateur et les identifiants transmis à des tiers.

Concevoir pour des signaux moins précis

Mozilla publie ces travaux sous forme de recherche ouverte, avec un article accepté à CCS 2026 et un site de test associé. Pour les développeurs, la conséquence pratique est de concevoir leurs applications en tenant compte de signaux de navigateur moins précis, tout en continuant à utiliser les API standards prises en charge pour les fonctionnalités utiles aux utilisateurs.

Source : Mozilla Security Blog, “Open research, stronger privacy: Making Firefox users harder to fingerprint”, 10 novembre 2026  (en anglais).