Apple détaille dans un billet publié sur le blog de WebKit la parade intégrée à Safari contre l'"identity resolution", une technique de pistage qui s'appuie sur votre adresse email plutôt que sur les cookies. La protection est déployée avec iOS 27, iPadOS 27, macOS 27 et visionOS 27.
Safari bloque les cookies intersites depuis six ans, et la publicité en ligne a trouvé un autre moyen de reconnaître les internautes. Apple coupe maintenant l'accès à l'infrastructure qui rend ce suivi possible.
Quand l'adresse email remplace le cookie : ce que Safari bloque
Comme toutes les technique de pistage publicitaire, le mécanisme est particulièrement surnois. Lorsqu'un internaute saisit son adresse mail pour se connecter à un site ou s'abonner à une newsletter, un tiers invisible la récupère et l'envoie à ses serveurs. Ceux-ci l'associent à un identifiant opaque, un code sans lien visible avec vous, et le renvoient au site, qui le stocke. Cet identifiant sert ensuite à vous reconnaître, comme le ferait un cookie, et à vous suivre d'un site à l'autre. Se déconnecter ou se désabonner n'y change rien, puisque l'adresse et l'identifiant restent chez le tiers. Au fil des connexions et des formulaires remplis, celui-ci complète votre profil, ce que le secteur appelle un "identity graph".
A l'instar d'un numéro de téléphone, une adresse email est presque toujours une donnée personnelle identifiante. On la garde souvent pendant des années, voire des décennies. Mais du côté des annonceurs, elle permet donc de suivre une même personne d'un site à l'autre, mais aussi d'un appareil à l'autre. Apple précise que lorsque le site où vous vous connectez utilise votre adresse pour personnaliser son propre service, ce n’est pas du pistage. Cela reste le site auquel vous avez confié vos informations. Le problème vient du tiers qui s’intercale entre les sites. Présent en coulisses sur un grand nombre de pages, il reçoit votre adresse depuis chacune d’elles et peut ainsi rapprocher vos visites, d’un site à l’autre et d’un appareil à l’autre, puis servir de point de passage pour cibler des publicités. Aucun site, pris seul, n’a cette vue d’ensemble.
Dans les versions 27 de ses systèmes, Safari et WebKit bloquent donc l'accès réseau à ces services. Ils ne visent ni les fournisseurs de connexion ni les services de newsletter, mais les acteurs dont le seul rôle est de vous pister. L'adresse ne part plus vers leurs serveurs, aucun identifiant n'est généré et le profil ne se construit pas. Le filtrage se fait au niveau du nom de domaine. Changer la forme de la requête ne permet donc pas de le contourner. Nous rapportions en septembre 2017 que Safari allait intégrer l'Intelligent Tracking Prevention, qui limitait notamment à 24 heures l'usage de certaines données de navigation par les annonceurs. Le blocage porte cette fois sur l'adresse email, et non plus sur les cookies.
Au-delà du spam, il vaut donc mieux faire usage d'un service de messagerie capable de générer des alias afin d'avoir une adresse différente pour chacun des services utilisé. Une telle option est notamment disponible chez Simple Login (Proton), Addy.io, Firefox Relay ou DuckDuckGo Email Protection. Les abonnés à iCloud+ disposent aussi de Hide My Email.
Ces outils génèrent une adresse unique et aléatoire pour chaque site, tout en continuant à transférer les messages vers votre boîte. Comme aucune adresse n'est partagée entre deux sites, il n'y a donc rien à recouper.
Source : WebKit
