Carte des requêtes tierces

Une page est assemblée à partir de nombreux serveurs

L’adresse dans la barre du navigateur désigne un seul site, mais le HTML qui revient est en réalité une liste de courses. Récupérer cette police chez Google, ce script chez un gestionnaire de balises, ce lecteur vidéo chez YouTube. Le navigateur obéit et ouvre une connexion vers chacun de ces hôtes. Tout hôte qui n’appartient pas au site que vous visitez est un tiers.

Aucune de ces connexions n’est anonyme. Chacune transporte l’adresse IP du visiteur, le navigateur et le système dans l’en-tête User-Agent et normalement un en-tête Referer qui nomme le site ou la page exacte lue. Si le tiers a déjà déposé un cookie dans ce navigateur, sur n’importe quel site, le cookie suit aussi. Une entreprise présente sur de nombreux sites peut donc reconnaître une même personne qui passe de l’un à l’autre. Souvent, le propriétaire du site n’a rien choisi de tout cela : un thème ou une extension a ajouté la requête.

Comment la carte est dessinée

Notre serveur télécharge la page et lit son code source. Il collecte les hôtes nommés dans les scripts, les feuilles de style, les images et les listes srcset, les médias, les iframes, les indications preconnect et preload, les cibles de formulaires, les valeurs CSS url() et les pixels de suivi placés dans <noscript>. Quand la page charge Google Tag Manager, nous récupérons aussi le fichier du conteneur (deux conteneurs au plus) et y cherchons les services qu’il peut injecter.

Chaque hôte est comparé à une liste d’environ 120 services connus, qui donne un nom, un propriétaire, le pays du siège de ce propriétaire et une catégorie. Les hôtes qui ne correspondent à rien sont regroupés par domaine et affichés comme non identifiés. Une adresse simplement écrite dans un script en ligne n’est retenue que si elle appartient à un service connu, car les scripts mentionnent beaucoup d’adresses qu’ils n’appellent jamais.

Jusqu’à 40 hôtes sont ensuite localisés. Une requête DNS renvoie une adresse IP, puis le service IP-vers-ASN de Team Cymru renvoie le réseau qui annonce cette adresse et le pays où le bloc est enregistré. Le tableau est trié de la catégorie la plus intrusive à la moins intrusive : publicité, analytics, réseaux sociaux, marketing, chat, vidéo, cartes, formulaires, paiement, polices, protection contre les robots, outils de consentement, bibliothèques, hébergement. Le compteur « Suivi » additionne les quatre premières.

Trois sens du mot « où »

Où le bloc d’adresses IP est enregistré

C’est ce que montre la carte. C’est un fait administratif consigné par les registres Internet régionaux.

Où se trouve la machine qui répond

Les grands réseaux annoncent la même adresse depuis des centres de données sur tous les continents et dirigent chaque visiteur vers le plus proche. Un bloc enregistré aux États-Unis peut être servi depuis Francfort pour un visiteur en Allemagne et les données peuvent ensuite être copiées ailleurs.

Où l’entreprise est établie

Indiqué par « HQ » dans le tableau. C’est ce qui détermine quels tribunaux et quelles autorités peuvent exiger des données à l’entreprise, où que se trouvent ses machines.

Les lois sur les transferts internationaux regardent surtout le troisième sens et le contrat en place. Selon le chapitre V du RGPD, les données personnelles ne peuvent quitter l’Espace économique européen que vers un pays couvert par une décision d’adéquation, ou avec des garanties comme les clauses contractuelles types.

Raccourcir la liste

• Retirez ce que personne n’utilise. Les pixels de campagnes terminées et les widgets d’extensions désinstallées continuent de transmettre des données pendant des années.
• Servez vous-même les fichiers statiques. Polices, jeux d’icônes et bibliothèques de scripts peuvent être copiés sur votre propre domaine. Avec HTTP/2, c’est généralement plus rapide qu’un CDN public, puisque les navigateurs ne partagent plus les fichiers en cache entre les sites.
• Chargez les contenus intégrés à la demande. Affichez une image à la place d’une vidéo ou d’une carte et chargez le vrai contenu au clic. L’outil contenu intégré chargé au clic écrit ce code.
• Parlez moins à ceux qui restent. Referrer-Policy: strict-origin-when-cross-origin envoie aux tiers votre domaine plutôt que l’adresse complète de la page.
• Empêchez la liste de regrossir. Un en-tête Content-Security-Policy fonctionne comme une liste d’autorisations. Un hôte qui n’y figure pas ne peut pas être appelé, quoi que prétende ajouter une extension.