Le canard s’est fait prendre la main dans le sac. Alors que DuckDuckGo se veut garant d’une navigation internet exempte de tout tracking, un chercheur en cybersécurité révèle qu’il existe de tout petits caractères en bas du contrat.
On le savait : les résultats des requêtes émises sur DuckDuckGo sont issus du moteur de recherche Bing, appartenant à Microsoft. Le partenariat entre les deux entreprises n’a jamais été un secret — même si DuckDuckGo ne s’en vante pas. Mais le chercheur Zach Edwards nous apprend que l’échange de bons procédés ne s’arrête pas là.
Un passe-droit pour Microsoft
Dans une série de tweets, le chercheur en cybersécurité Zach Edwards confesse être tombé des nues. « J’en suis désormais sûr : le nouveau navigateur DuckDuckGo pour iOS et Android ne bloque pas les flux de données Microsoft vers LinkedIn ou Bing ». Une accusation embarrassante pour le moteur de recherche, qui vient justement de lancer un navigateur sur macOS.
Dans son fil Twitter, le chercheur détaille et expose les mensonges ou demi-vérités de DuckDuckGo. Dans la politique de confidentialité des applications mobiles, l’entreprise certifie qu’elle « bloque automatiquement tous les trackers de tierces parties ». Or cela est factuellement faux, motive Edwards en expliquant qu’il existe une passerelle qui autorise certains sites appartenant à Microsoft, comme Bing ou LinkedIn, à récupérer des données personnelles sur les internautes.
Comme nous l’expliquions plus haut, Microsoft et DDG sont partenaires de longue date. On trouve même sur son site un article expliquant que les publicités Microsoft présentes dans les résultats de recherche récupèrent votre adresse IP et partagent votre identifiant agent-utilisateur (lié au navigateur) aux régies publicitaires. Mais la trouvaille de Zach Edwards dépasse largement le cadre prévu par ce qui a été rendu public du partenariat entre les deux entreprises. Il se trouve par ailleurs que les trackers de Workplace.com, un domaine appartenant à Meta (ex-Facebook) ne sont pas bloqués non plus — alors que l’application indique explicitement le contraire.
Pour l’écrire autrement : DuckDuckGo bloque les trackers de tous les domaines du Web… à l’exception de ceux appartenant à son partenaire, qui se révèle être la troisième plus grosse entreprise au monde.
Le patron de DuckDuckGo réagit
Inutile de préciser que Gabriel Weinberg, P.-D.G. de DuckDuckGo, n’est pas très à l’aise avec les découvertes de Zach Edwards. Il a rapidement pris la parole sur son compte Twitter pour clarifier la situation.
Assez transparent, Gabriel Weinberg explique que DDG bloque « la plupart » des trackers tiers. Mais que, « malheureusement, notre accord de syndication des résultats de recherche avec Microsoft nous interdit d’en faire davantage pour [bloquer] les trackers issus des domaines appartenant à Microsoft ». Le chef d’entreprise ajoute que ses équipes négocient en permanence avec Microsoft pour tenter de « modifier ces exigences », mais qu’une clause de confidentialité dans le contrat qui les lie l’empêche d’en dire davantage.
Opportuniste, Shivan Kaul Sahib, ingénieur pour le concurrent Brave qui a lancé depuis plusieurs mois un moteur de recherche disposant de son propre index, s’est dit choqué par la nouvelle. Il rappelle sur son compte Twitter que « les services défendant les données personnelles mais dépendants des grandes entreprises ne peuvent pas offrir de véritable confidentialité ; ce business model ne fonctionne tout simplement pas ».
Vos données personnelles sont mises aux enchères 376 fois par jour
Sources : Web Pro News, DuckDuckGo, Shivan Kaul Shahib
et tant mieux manifestement.