Vie privée : la gestion des cookies remise en cause au sein d'Internet Explorer

Selon une étude publiée par des chercheurs de l'université de Carnegie Mellon, le navigateur Internet Explorer présenterait un problème important dans la gestion de la vie privée. En effet, même si l'internaute a paramétré son logiciel afin de n'accepter aucun cookie, plusieurs grands sites Internet ont trouvé une technique pour contourner ces paramètres.

Le cookie, c'est un petit fichier téléchargé sur la machine d'un utilisateur au sein duquel le site peut y stocker différentes informations tel que son nom d'utilisateur, ses paramètres du site mais également son profil afin de lui retourner de la publicité plus ciblée. Au travers de leur étude, les chercheurs en ont conclu que sur 33 000 sites analysés, un tiers d'entre eux présentaient des problèmes avec Internet Explorer.

Le navigateur examine la politique de confidentialité du site Internet afin de s'assurer que cette dernière correspond bien aux paramètres réglés par l'internaute. Il peut par exemple s'agir de cookies ne stockant aucune données personnelles et potentiellement en accord avec l'utilisateur. Dans le cadre du projet P3P (Platform for Privacy Preferences) défini par le W3C, chacune des règles de confidentialité est traduite par une chaine de caractères placée dans l'en-tête de la page sous la forme d'un fichier XML et ce, afin d'être détectable par le navigateur. Ce dernier pourra alors autoriser ou refuser le téléchargement.

Internet Explorer serait aujourd'hui le seul navigateur à utiliser cette méthode de filtrage, en présentant une gestion plus souple pour chacun des sites Internet. Par opposition, Firefox, Safari et Chrome ne proposent que de bloquer tous les cookies, les accepter par défaut ou bloquer les cookie tiers, c'est-à-dire ceux pouvant être téléchargés depuis un site mais hébergés sur des serveurs tiers (typiquement pour la publicité).

Plusieurs sites Internet ont cependant spécifié un mauvais code au sein de l'en-tête de leurs pages ; ce dernier ne reflétant pas leur politique en matière de vie privée. Selon les chercheurs, cette erreur aurait été commise en collant un morceau de code proposé à titre d'exemple par Microsoft. Par la suite, la firme de Redmond a mis à disposition un tutoriel pour les développeurs web. Les experts estiment que dans 50% des cas problématiques, l'erreur a été faite de manière intentionnelle.

Parmi les grands acteurs du web ne disposant pas d'un code valide reflétant la politique de confidentialité de leurs sites, notons par exemple Facebook, AOL, Amazon, GoDaddy, Hulu et même les sites de Microsoft (Live.com, MSN.com, Windows.com). L'étude montre également que sur 3417 sites Internet bénéficiant d'un certificat TRUSTe, attestant de manière objective la qualité d'un site pour sa gestion de la vie privée, seuls 391 d'entre eux présentaient une chaine de caractère P3P en-tête du code HTML. Parmi ces derniers, 134 présentaient un code erroné.

L'étude complète est disponible ici (Anglais PDF - 26 pages).