Risques de Cookie, localStorage et IndexedDB
Cookie, localStorage, IndexedDB, sessionStorage et cache peuvent relier les actions du même navigateur même si l'adresse IP ou la route de communication change.
Les sites web peuvent enregistrer des informations dans le navigateur.
Le mécanisme le plus connu est le Cookie. Il existe aussi des zones de stockage comme localStorage et IndexedDB. Elles servent à garder état de connexion, paramètres, panier, identifiants et données d'application.
Ces mécanismes sont pratiques, mais deviennent de forts matériaux de corrélation pour l'anonymat.
Même si l'adresse IP change, le même Cookie envoyé fait traiter le navigateur comme identique. Même avec VPN ou Tor, utiliser la même zone de stockage que l'environnement sous identité réelle crée un lien.
Cet article organise le lien entre stockage dans le navigateur et anonymat. Le détail est traité dans « Différence entre Cookie, sessionStorage et localStorage ».
Zones de stockage du navigateur
Cookie, localStorage et IndexedDB sont des mécanismes qui permettent à un site web d'enregistrer des informations côté navigateur.
| Zone de stockage | Usage principal | Attention pour l'anonymat |
|---|---|---|
| Cookie | État de connexion, session, identifiant | Envoyé avec les requêtes |
| localStorage | Paramètres, données simples | Utilisé par JavaScript |
| IndexedDB | Données d'application plus volumineuses | Garde des données de Web app |
| sessionStorage | Stockage temporaire par onglet | Garde l'état de la session |
| Cache | Images et scripts | Devient un indice de consultation |
Ces mécanismes rendent le Web pratique.
Mais tant que le même navigateur est utilisé, les actions restent plus faciles à suivre dans la durée.
Pourquoi c'est un problème pour l'anonymat
Pour l'anonymat, le problème est que les actions du même utilisateur se relient.
Cookie et localStorage créent ce lien. Par exemple, même après avoir consulté un site depuis l'IP du domicile, si vous y retournez avec un VPN et le même Cookie, le site reconnaît le même navigateur.
| Situation | Ce qui arrive | Problème pour l'anonymat |
|---|---|---|
| Changer seulement l'IP | Le Cookie identique est envoyé | Le même navigateur est visible |
| Navigation anonyme après connexion réelle | Le stockage reste | L'action se relie à l'environnement réel |
| Plusieurs comptes dans le même navigateur | Les états se mélangent | La séparation des comptes se rompt |
| Utiliser une Web app | IndexedDB garde des données | L'utilisation passée reste |
| Cache restant | Reconsultation ou contenus consultés restent | Trace locale sur l'appareil |
VPN et Tor changent la visibilité de la route de communication.
Le stockage dans le navigateur est un autre problème.
Supprimer les Cookie peut ne pas suffire
Supprimer les Cookie est utile.
Mais si localStorage, IndexedDB, caché ou Service Worker restent, l'état d'une Web app peut rester.
| Ce qui reste | Contenu | Attention |
|---|---|---|
| localStorage | Paramètres de site ou identifiants | Peut ne pas disparaître avec les seuls Cookie |
| IndexedDB | Données de Web app | Peut contenir beaucoup d'informations |
| Cache | Fichiers déjà récupérés | Trace de consultation ou d'utilisation |
| Service Worker | Traitement hors ligne ou notifications | Continue certains comportements du site |
| État de connexion | Session côté service | Ne se limite pas au navigateur |
Dans une activité anonyme, séparer navigateur réel et navigateur anonyme est important.
Une conception qui ne mélange pas est plus stable qu'une suppression répétée à chaque fois.
Ce qu'il faut vérifier
Avec le stockage du navigateur, pensez à ce qu'il ne faut pas mélanger avant de penser à ce qu'il faut supprimer.
| Point à vérifier | Raison |
|---|---|
| Navigateurs séparés pour réel et anonyme ? | Éviter le mélange des zones de stockage |
| Connexion réelle et anonyme au même site ? | Éviter la corrélation de comptes |
| Stockages autres que Cookie vérifiés ? | localStorage et IndexedDB peuvent rester |
| Profils de navigateur séparés ? | Séparer aussi extensions et historique |
| Paramètres standard de Tor Browser conservés ? | Ne pas devenir visible par personnalisation |
Pour les activités à haut risque, envisagez aussi de séparer utilisateur OS, appareil et route de communication, pas seulement le navigateur.
Préférer la séparation à la suppression
Les Cookie et zones de stockage peuvent être supprimés.
Mais une pratique qui exige une suppression parfaite à chaque fois se casse facilement : oubli, mauvaise cible, reconnexion, autre site, synchronisation.
| Méthode | Avantage | Attention |
|---|---|---|
| Suppression à chaque fois | Facile à commencer | Oubli ou omission possible |
| Navigateur séparé | Séparation plus facile entre réel et anonyme | Séparer aussi extensions et paramètres |
| Profil séparé | Séparation dans le même navigateur | Discipline nécessaire pour ne pas se tromper |
| Tor Browser | Conçu pour réduire stockage et identification | Ne pas casser les réglages standard |
| Appareil séparé | Séparation forte | Coût de gestion plus élevé |
Pour un faible risque, un profil séparé peut suffire.
Pour un risque élevé, envisagez de séparer jusqu'à l'appareil ou l'OS. L'important est de décider le niveau nécessaire à partir du modèle de menace.
Erreurs fréquentes
Les erreurs de stockage du navigateur arrivent dans des gestes habitues.
| Erreur | Ce qui arrive |
|---|---|
| Publier anonymement avec le navigateur habituel | Cookie et historique réels se mélangent |
| Activer seulement un VPN | Les Cookie identiques sont envoyés |
| Se rassurer avec une simple déconnexion | localStorage et IndexedDB restent |
| Utiliser les mêmes extensions | L'environnement du navigateur se ressemble |
| Ne pas couper la synchronisation cloud | Historique et paramètres se diffusent entre appareils |
Pour l'anonymat, vérifiez en même temps route de communication et état interne du navigateur.
Principe de base en activité anonyme
Pour Cookie et stockage, la base est « ne pas mélanger » plutôt que « effacer ».
Une fois un navigateur réservé à l'activité anonyme, n'y entrez pas dans les services sous identité réelle. Dans le navigateur réel, n'entrez pas dans les comptes anonymes. Séparez aussi synchronisation cloud et synchronisation des mots de passe. Cette pratique simple est une mesure forte sur le long terme.
| Principe | Sens |
|---|---|
| Séparer les usages | Ne pas mélanger réel et anonyme |
| Vérifier la synchronisation | Ne pas diffuser historique et paramètres vers d'autres appareils |
| Séparer les connexions | Éviter la corrélation de comptes |
| Vérifier régulièrement le stockage | Ne pas garder de données inutiles |
| Séparer aussi l'appareil en haut risque | Ne pas dépendre seulement du navigateur |
Résumé
Cookie, localStorage et IndexedDB permettent aux sites web de stocker des informations dans le navigateur.
Ces fonctions sont pratiques, mais deviennent des indices qui relient les actions du même navigateur.
Même si l'adresse IP change, le même Cookie ou la même zone de stockage peut faire reconnaître le même navigateur ou environnement.
Pour l'anonymat, séparez la route de communication et le stockage du navigateur.
Il est important de ne pas mélanger environnement sous identité réelle et environnement anonyme, et d'utiliser au besoin un navigateur ou profil dédié.
Outils liés
BrowserLeaks WebRTC
Ressource externe liée à cet article. Ouvrez-la seulement si elle correspond à votre situation et à votre modèle de menace.
Pourquoi il est listé ici: Elle peut aider sur le sujet de l’article, mais elle se situe hors d’Anonymity Sense et doit être vérifiée avant usage.
Tor Project
Ressource externe liée à cet article. Ouvrez-la seulement si elle correspond à votre situation et à votre modèle de menace.
Pourquoi il est listé ici: Elle peut aider sur le sujet de l’article, mais elle se situe hors d’Anonymity Sense et doit être vérifiée avant usage.