Que sont les cookies tiers ? Comment fonctionne le suivi (et comment vous vous protégez)

Un cookie est un petit fichier texte qu’un site web stocke sur ton ordinateur via ton navigateur. C’est tout. Les cookies n’ont rien de mystérieux ni de dangereux par nature. C’est l’une des plus anciennes technologies du web, qui remonte à 1994.

Quand tu visites un site web, le serveur peut envoyer une petite donnée, un cookie, que ton navigateur enregistre. La prochaine fois que tu visites le même site, ton navigateur renvoie le cookie. Le site peut ainsi se souvenir de certaines choses à ton sujet entre deux visites.

Les cookies ont de nombreux usages légitimes et essentiels. Quand tu te connectes à un site, un cookie garde en mémoire que tu es connecté, pour que tu n’aies pas à saisir ton mot de passe à chaque page. Quand tu ajoutes des articles à un panier d’achat en ligne, un cookie retient son contenu. Quand tu règles un site en mode sombre ou que tu choisis une langue, un cookie mémorise ce choix. Sans cookies, chaque chargement de page repartirait de zéro, sans session de connexion, sans préférences, sans panier.

Un cookie n’est qu’une paire clé-valeur, un nom et une valeur, comme "session_id=abc123" ou "language=en." Il contient aussi des métadonnées, le domaine qui l’a défini, sa date d’expiration et s’il doit être envoyé uniquement via des connexions chiffrées. Les cookies ne peuvent pas exécuter de code, accéder à tes fichiers ni installer de logiciel. Ce sont des données passives, pas des programmes.

Les problèmes de confidentialité ne viennent pas de la technologie elle-même, mais de l’usage qu’on en fait. Plus précisément, le problème apparaît quand des cookies sont définis par un domaine autre que celui que tu visites réellement. Cette distinction entre cookies first-party et third-party est au cœur du suivi web moderne. La comprendre est essentiel pour comprendre comment l’industrie publicitaire te suit sur Internet et pourquoi les éditeurs de navigateurs passent des années à essayer de l’empêcher.

La distinction entre cookies first-party et third-party est simple, mais elle a d’énormes implications pour la confidentialité.

Un cookie first-party est défini par le site que tu visites. Quand tu vas sur example.com et qu’example.com stocke un cookie, c’est un cookie first-party. Seul example.com peut le lire. Ces cookies gèrent en général des fonctions essentielles, garder ta session ouverte, mémoriser tes préférences, conserver ton panier. Les cookies first-party sont généralement inoffensifs et nécessaires au bon fonctionnement des sites.

Un cookie third-party est défini par un domaine autre que celui que tu visites. Quand tu vas sur example.com, mais qu’un cookie est défini par ads.tracker.com parce que example.com a intégré une publicité ou un script de suivi de ce domaine, c’est un cookie third-party. La différence cruciale, c’est que ads.tracker.com peut définir et lire ce même cookie sur tous les sites qui intègrent son script de suivi.

C’est le mécanisme qui permet le suivi intersite. Si tracker.com a son script intégré sur des milliers de sites, des sites d’actualité, des boutiques en ligne, des réseaux sociaux, des blogs, alors tracker.com peut voir ton activité sur chacun de ces sites grâce à ses cookies. Il sait que tu as lu un article sur les chaussures de course sur un site d’actualité, puis visité le site d’une boutique de chaussures, puis consulté un site d’avis. Le tout avec le même cookie.

Les cookies first-party restent limités à un seul site. Les cookies third-party te suivent sur tout le web. C’est la différence fondamentale, et c’est pour cela que les cookies third-party ont été la cible principale des mesures de confidentialité des navigateurs.

Il faut noter que la frontière entre first-party et third-party n’est pas toujours nette. Des techniques comme le CNAME cloaking permettent aux sociétés de suivi de faire passer leurs cookies pour des cookies first-party en utilisant un sous-domaine du site que tu visites. Un domaine de suivi peut apparaître comme analytics.example.com au lieu de tracker.com, ce qui rend ses cookies techniquement first-party. Safari a mis en place des contre-mesures contre cette technique, mais cela montre bien comment l’industrie du suivi s’adapte sans cesse pour contourner les protections de la vie privée.

Comprendre le fonctionnement du suivi intersites montre pourquoi les cookies tiers ont été si précieux pour l’industrie publicitaire, et si nuisibles à la vie privée.

Voici comment cela fonctionne en pratique. Un réseau publicitaire, appelons-le AdTrack, fournit des scripts publicitaires à des milliers de sites web. Quand tu visites le Site A, un site d’actualité, ton navigateur charge le script d’AdTrack avec le contenu de la page. AdTrack dépose un cookie avec un identifiant unique, du type "user_id=x7f9k2." Ce cookie est stocké sur ton ordinateur et associé au domaine d’AdTrack.

Tu visites ensuite le Site B, une boutique de vêtements en ligne qui utilise aussi AdTrack. Ton navigateur recharge le script d’AdTrack et renvoie le cookie déjà posé. AdTrack sait alors que la même personne qui a visité le Site A a aussi visité le Site B. Il l’enregistre. Au fil des jours et des semaines, AdTrack dresse un profil: tu lis des articles sur la technologie et la cuisine, tu achètes des chaussures de course et des livres, tu consultes des sites de voyage le vendredi soir. AdTrack ne connaît pas forcément ton nom, mais il connaît tes habitudes de navigation avec un niveau de détail remarquable.

Ce profil sert ensuite à la publicité ciblée. Quand tu visites le Site C, AdTrack reconnaît ton cookie et t’affiche une publicité pour les chaussures de course que tu avais vues sur le Site B. C’est pour cela que les pubs semblent te suivre partout sur Internet. Elles le font vraiment.

L’échelle est stupéfiante. Les grands réseaux publicitaires, comme ceux exploités par Google et Meta, ont leurs scripts de suivi intégrés sur des millions de sites web. Les différents services de suivi de Google (Google Analytics, Google Ads, Google Tag Manager, DoubleClick) sont présents sur environ 85 % du million de sites les plus visités. Cela signifie que Google peut observer ton activité sur la majeure partie du web.

Les données collectées vont bien au-delà des sites que tu visites. Les scripts de suivi peuvent enregistrer le temps passé sur une page, les éléments sur lesquels tu cliques, jusqu’où tu fais défiler la page, ce que tu recherches, ce que tu ajoutes aux paniers d’achat, et ce que tu finis par acheter. Ces données sont regroupées, analysées et revendues aux annonceurs pour créer des profils comportementaux détaillés. Tu n’es pas le client de ces réseaux publicitaires. Tu es le produit. Les sites web sont les clients, et ce qui est vendu, c’est ton attention et tes données.

Les cookies tiers sont en train de disparaître. Safari et Firefox les bloquent par défaut depuis des années. Google Chrome, le dernier grand résistant, s’est orienté vers des restrictions, même si Google a repoussé à plusieurs reprises leur abandon complet, car son activité publicitaire dépend de l’infrastructure de suivi que ces cookies rendent possible.

Mais la fin des cookies tiers ne signifie pas la fin du suivi. L’industrie publicitaire a passé des années à développer des méthodes de suivi alternatives qui ne reposent pas du tout sur les cookies. Il est essentiel de les comprendre, car elles sont déjà largement utilisées.

L’empreinte digitale du navigateur est le remplacement le plus préoccupant. Au lieu de stocker un identifiant sur ton ordinateur, elle t’identifie en collectant des dizaines de détails techniques sur ton navigateur et ton appareil: résolution d’écran, polices installées, capacités de la carte graphique, fuseau horaire, paramètres de langue, version du système d’exploitation, extensions du navigateur, et plus encore. Pris séparément, ces détails ne sont pas uniques. Ensemble, ils créent une empreinte remarquablement distinctive. Des recherches ont montré que la combinaison des attributs du navigateur est unique pour plus de 90 % des utilisateurs. Aucun cookie nécessaire.

L’empreinte digitale est plus difficile à bloquer que les cookies, car elle n’enregistre rien sur ton ordinateur. Il n’y a rien à supprimer, aucune bannière à afficher, aucun réglage à activer. Ton navigateur doit agir activement pour l’empêcher, en présentant aux sites web des informations standardisées ou aléatoires.

Le suivi côté serveur est une autre méthode en plein essor. Au lieu de se faire dans ton navigateur via JavaScript, il a lieu sur le serveur du site web. Quand tu visites une page, le serveur enregistre ton activité et l’envoie directement au service de suivi, de serveur à serveur. Ton navigateur ne voit jamais la requête de suivi, ce qui signifie que les outils de blocage côté navigateur ne peuvent pas l’arrêter.

L’API Topics de Google, intégrée à son initiative Privacy Sandbox, propose de remplacer le suivi individuel par des catégories d’intérêts. Au lieu de suivre précisément ton historique de navigation, Chrome classerait tes intérêts dans de grandes catégories et les partagerait avec les annonceurs. Ses détracteurs estiment que cela permet toujours d’établir des profils et que le contrôle de Google à la fois sur le navigateur et sur la plateforme publicitaire crée une situation anticoncurrentielle.

L’après-cookie n’est pas plus respectueux de la vie privée par défaut. Les méthodes de suivi qui remplacent les cookies sont souvent plus difficiles à détecter, plus difficiles à bloquer et moins transparentes. Les bannières de cookies donnaient au moins un indice visible, même agaçant, qu’un suivi était en cours. L’empreinte digitale et le suivi côté serveur se déroulent en toute invisibilité.

Étant donné que le pistage va bien au-delà des cookies, une protection efficace exige une approche en couches. Aucun outil ne règle tout, mais la bonne combinaison réduit fortement votre exposition.

Commencez par votre navigateur. Choisissez-en un qui bloque les cookies tiers par défaut et inclut une protection contre le fingerprinting. Safari et Firefox font tous deux cela très bien. Brave va plus loin avec un blocage intégré plus agressif. Quel que soit votre choix, passez en revue les réglages de confidentialité : activez la protection anti-pistage la plus stricte, désactivez la télémétrie et le partage de données avec l'éditeur du navigateur, et envisagez d'utiliser un moteur de recherche axé sur la vie privée comme DuckDuckGo plutôt que Google.

Installez un bloqueur de contenu. uBlock Origin est la référence pour bloquer les scripts de suivi, les publicités et les tentatives de fingerprinting dans votre navigateur. Il fonctionne en empêchant les scripts de suivi de se charger dès le départ, ce qui est plus efficace que d'essayer de limiter ce qu'ils peuvent faire une fois chargés. Sur Safari, où uBlock Origin n'est pas disponible, le bloqueur de contenu intégré et des extensions comme AdGuard offrent une protection similaire.

Effacez régulièrement les cookies. Même avec les cookies tiers bloqués, les cookies de premier niveau peuvent encore servir au suivi via des techniques comme le link decoration et le bounce tracking. Effacer les cookies périodiquement, ou utiliser des fonctions du navigateur comme Total Cookie Protection de Firefox qui isole les cookies par site, limite ce risque.

Utilisez un VPN sur les réseaux non fiables pour éviter que votre adresse IP serve d'identifiant de suivi. Votre adresse IP peut révéler votre position approximative et certains systèmes de suivi l'utilisent pour relier des activités entre plusieurs sites.

Mais voici l'élément crucial que la plupart des guides oublient : les cookies et le suivi dans le navigateur ne sont qu'un vecteur. Vos apps Mac vous suivent aussi via leurs propres connexions, complètement en dehors du navigateur. Spotify, Zoom, Slack, Adobe et des dizaines d'autres apps envoient des données de télémétrie et d'analyse directement vers des serveurs de suivi. Les réglages de confidentialité de votre navigateur n'y changent rien.

C'est là qu'un outil au niveau système comme NetMute comble la faille. NetMute surveille chaque connexion sortante de chaque app sur votre Mac, pas seulement votre navigateur. Son Tracker Shield bloque automatiquement les connexions vers plus de 1100 domaines de suivi connus, dans toutes les applications. Un traqueur que votre navigateur bloque avec succès peut encore collecter des données via une app de bureau, à moins d'avoir une protection au niveau de l'application.

L'approche complète pour bloquer le suivi en 2026 combine un navigateur privé pour le suivi web, un bloqueur de contenu pour les scripts et les publicités, et un pare-feu au niveau des apps pour tout le reste. Les cookies ont été le début de l'histoire du suivi. Ils n'en sont plus toute l'histoire. Se protéger, c'est traiter toutes les façons dont les données quittent votre ordinateur, pas seulement celles qui se produisent dans une fenêtre de navigateur.