Télécharger les sites web qui utilisent ClientJS

À propos de ClientJS

La plupart des bibliothèques qu’un robot trouve décrivent la façon dont un site a été construit. ClientJS décrit la façon dont un site traite les gens qui le visitent. La bibliothèque existe pour assembler une empreinte d’appareil à partir de signaux de navigateur ordinaires, parmi lesquels l’agent utilisateur, la géométrie de l’écran, les polices installées, le rendu canvas et le fuseau horaire, et pour les replier en un identifiant qui persiste sans poser de cookie.

La présence est donc un signal de conformité autant qu’un signal technique. L’empreinte sert au calcul de risque de fraude, au filtrage des robots, à l’application des murs payants et à la personnalisation, autant d’usages défendables, et la même technique sert aussi à un suivi que le visiteur ne peut ni effacer ni refuser. Un site qui charge une bibliothèque d’empreinte dans une juridiction dotée de règles de consentement avance une affirmation qu’on pourra lui demander de défendre, et le propriétaire du site ignore fréquemment que la bibliothèque est là, tout court, parce qu’elle est arrivée dans un gabarit ou dans un extrait de mesure d’audience que quelqu’un a collé.

La bibliothèque elle-même a cessé de bouger. Publié en 2013 sous licence MIT et écrit en JavaScript, le projet compte 4 versions suivies, dont 0.2.1 qui revient sur les sites que nous voyons. Une dépendance qui ne change plus est en général une dépendance que personne ne relit, ce qui constitue une observation qui compte quand la dépendance en question collecte des signaux d’identité. La stabilité rend aussi la chaîne de version inhabituellement instructive, car avec si peu de mouvement en circulation, la version marque à peu près le moment où l’extrait a été collé plutôt qu’une activité de mise à jour continue.

En octobre 2026 nous relevons la bibliothèque sur 1 614 sites, et le nombre a besoin d’un cadre honnête. En production, l’empreinte d’appareil est bien plus souvent embarquée dans des produits commerciaux d’antifraude, de gestion des robots et de mesure d’audience, et notre détection les attribue au produit plutôt qu’à la technique sous-jacente. L’ensemble détecté est la couche visible, c’est-à-dire les sites qui chargent cette bibliothèque autonome et reconnaissable de la catégorie Browser fingerprinting, et non l’univers complet des sites qui prennent l’empreinte de leurs visiteurs. Quiconque se sert de ces données pour raisonner sur la prévalence du suivi devrait les traiter comme un plancher et une base de sondage plutôt que comme un recensement.

Aucune requête domaine par domaine ne répond à la question que les chercheurs posent réellement ici, qui n’est pas de savoir si un site donné prend des empreintes mais lesquels le font. Une liste téléchargeable de tous les domaines où la bibliothèque est présente donne à un chercheur en protection de la vie privée un échantillon à auditer, à un régulateur un point de départ, à un fournisseur concurrent une liste de sites déjà engagés dans l’identification des appareils, et à une équipe de sécurité un moyen de vérifier si la bibliothèque apparaît quelque part dans sa propre chaîne d’approvisionnement.