Paramètres d’URL inconnus
Les URL ne contiennent pas seulement des paramètres dont le sens est facile à comprendre.
Certains, comme utm_source ou gclid, permettent de deviner assez facilement un objectif de suivi. Mais d’autres valeurs, comme id, token, cid, source, ref ou session, sont difficiles à juger d’un simple coup d’œil.
Quand vous voyez un paramètre inconnu, il est dangereux de penser « je ne sais pas ce que c’est, donc je peux le supprimer » comme de penser « je ne sais pas ce que c’est, donc je peux le laisser ».
Pour l’anonymat, l’important est de distinguer si cette valeur est nécessaire à l’affichage de la page ou si elle sert à identifier l’utilisateur ou le chemin d’accès.
Cet article explique comment lire et juger les paramètres d’URL inconnus.
Qu’est-ce qu’un paramètre inconnu
Un paramètre inconnu est une valeur dans une URL dont l’usage est difficile à déterminer à partir du seul nom.
Par exemple, une chaîne comme celle-ci.
sample.test/page?id=123&cid=abc&token=xyz
Ici, sample.test est une chaîne utilisée pour l’explication.
id=123 peut être un ID d’article. Ou un ID de produit. Ou un ID propre à l’utilisateur.
cid=abc peut être un ID de campagne. Ou un ID client.
token=xyz peut être une valeur proche d’un droit d’accès temporaire ou d’une session.
On ne peut pas décider à partir du nom seul.
C’est pourquoi les paramètres inconnus doivent être traités comme des éléments dont il faut deviner le sens, vérifier le comportement et, si nécessaire, éviter le partage.
Penser par catégories
Les paramètres inconnus deviennent plus faciles à juger quand on les classe en plusieurs types.
| Type | Exemple | Traitement |
|---|---|---|
| Valeur nécessaire à l’affichage | id, page, q, category | La supprimer peut changer le contenu |
| Valeur qui ressemble à du suivi | cid, campaign, source, ref | Elle peut être inutile au partage |
| Valeur qui ressemble à une identification individuelle | uid, user, visitor, client | Elle devient un indice proche de l’utilisateur ou de l’appareil |
| Valeur qui ressemble à une authentification ou à un lien temporaire | token, session, sid, key | Prioriser la décision de ne pas partager publiquement |
| Longue valeur incompréhensible | Lettres et chiffres aléatoires | La traiter avec prudence car elle peut être émise individuellement |
Cette classification n’est pas un jugement complet.
Mais elle est plus sûre que coller le lien sans réfléchir.
Soyez particulièrement prudent avec des valeurs comme token, session, sid et key. Il peut s’agir d’une URL liée à l’état de connexion ou à un accès temporaire, et non d’une URL de partage.
Vérifier si l’on peut supprimer
Pour un paramètre inconnu, vérifiez en le supprimant réellement.
Cependant, si vous vérifiez seulement dans votre navigateur habituel déjà connecté, vous pouvez vous tromper.
| Ordre | À vérifier | Raison |
|---|---|---|
| 1 | Regarder le nom du paramètre | Deviner s’il est plus proche du suivi, de l’affichage ou de l’authentification |
| 2 | Supprimer les paramètres un par un | Séparer les valeurs nécessaires à l’affichage |
| 3 | Ouvrir dans un autre navigateur | Réduire l’effet des cookies et de l’état de connexion |
| 4 | Ouvrir déconnecté | Vérifier si l’URL est aussi visible pour d’autres personnes |
| 5 | Ne pas partager s’il reste une longue valeur inconnue | Éviter la possibilité d’un lien individuel |
Si vous supprimez tout en bloc, vous ne saurez plus quelle valeur était nécessaire.
En supprimant une valeur à la fois, vous distinguez plus facilement les valeurs nécessaires à l’affichage des valeurs inutiles.
Situations où une valeur inconnue devient dangereuse
Un paramètre inconnu ne devient pas problématique seulement quand sa valeur contient une information personnelle lisible.
Même des lettres et chiffres qui semblent aléatoires peuvent, à l’intérieur du service, être liés à un utilisateur, un envoi, une invitation, un clic ou une session précise.
| Situation | Ce qui peut se passer |
|---|---|
| Lien individuel dans un e-mail | Une valeur peut indiquer à qui l’e-mail a été envoyé |
| Lien d’invitation | L’invitant ou l’invité peuvent être enregistrés |
| Lien en accès limité | Seules les personnes connaissant l’URL peuvent voir le contenu |
| Page après achat ou inscription | Une information proche d’une commande ou d’une demande peut rester dans l’URL |
| Interface d’administration ou aperçu | Vous pouvez partager un écran qui n’est pas destiné à la publication |
Si vous partagez ce type d’URL avec un compte anonyme, une corrélation naît du côté de l’URL même si le réseau est masqué.
Un ou ne supprime pas les identifiants inclus dans l’URL.
Signes indiquant qu’il ne faut pas partager
Certains paramètres inconnus doivent faire éviter le partage avant même d’essayer de les supprimer.
Dans les cas suivants, plutôt que de nettoyer l’URL de force, il vaut mieux chercher une autre URL depuis une page publique ou un bouton de partage officiel.
| Signe | Raison |
|---|---|
| Présence de token, session ou sid | Cela peut être proche d’un état temporaire ou d’une authentification |
| URL extrêmement longue | Elle peut contenir beaucoup d’état individuel ou d’informations de suivi |
| Accessible seulement lorsque vous êtes connecté | Cela peut être une page personnelle non visible par d’autres |
| Présence de mots indiquant administration, modification ou aperçu | Ce n’est peut-être pas une URL publique |
| Le contenu change fortement quand vous supprimez la valeur | La valeur est fortement liée au contenu de la page |
Pour l’anonymat, il est important de ne pas traiter comme sûr ce que l’on ne comprend pas.
« Je ne comprends pas bien, mais c’est probablement bon » est un jugement dangereux.
Idées reçues courantes
Il existe des idées reçues fréquentes sur les paramètres inconnus.
La première est de croire qu’une valeur aléatoire en lettres et chiffres n’a pas de sens.
En réalité, plus une valeur semble aléatoire, plus elle peut être utilisée en interne comme identifiant individuel.
La deuxième est de croire qu’il n’y a pas de problème si son nom n’apparaît pas.
En matière d’anonymat, le problème ne se limite pas au nom. Les liens émis individuellement, identifiants d’envoi d’e-mail, identifiants d’invitation et identifiants de session se relient aux journaux du service.
La dernière est de croire qu’une URL raccourcie rend le partage sûr.
Une URL raccourcie ne fait que raccourcir l’apparence. Si des paramètres inconnus restent dans la destination développée, le problème n’a pas disparu.
Jugement pratique
Quand vous voyez un paramètre inconnu, jugez de la manière suivante.
- Vérifier si la valeur semble nécessaire à l’affichage
- Mettre en candidats à la suppression les valeurs qui ressemblent à du suivi, à une recommandation ou à une campagne
- Prioriser la décision de ne pas partager pour token, session, sid, key et valeurs similaires
- Rouvrir après suppression dans un autre navigateur
- Chercher une URL de partage officielle s’il reste une valeur inconnue
Ce jugement peut sembler fastidieux.
Mais une URL partagée anonymement fait partie du texte publié.
Si vous relisez le texte, vous devez aussi relire l’URL.
Résumé
Un paramètre d’URL inconnu est une valeur dans une URL dont l’usage est difficile à déterminer à partir du seul nom.
Des valeurs comme id, cid, ref, token et session doivent être vérifiées pour savoir si elles relèvent de l’affichage de la page, du suivi, de l’identification individuelle ou de l’authentification.
Ne décidez pas immédiatement qu’une valeur inconnue peut être supprimée ou laissée telle quelle.
Supprimez une valeur à la fois, vérifiez dans un autre navigateur ou déconnecté, et réduisez les valeurs inutiles au partage.
En particulier, quand des valeurs comme token, session, sid ou key sont présentes, donnez la priorité à la décision de ne pas partager.
Une petite valeur restée dans une URL peut se relier aux journaux du service ou à l’heure d’accès.
Pour l’anonymat, il est important de ne pas laisser de côté les valeurs que l’on ne comprend pas.