Télécharger les sites web qui utilisent FingerprintJS

À propos de FingerprintJS

L’empreinte de navigateur répond à une question à laquelle les cookies ne répondent plus de façon fiable. Face à une requête sans connexion et sans identifiant exploitable, le site peut-il encore dire si ce navigateur est déjà venu ? FingerprintJS construit un identifiant de visiteur stable à partir de dizaines de signaux du navigateur et de l’appareil, et un site qui le charge a décidé que reconnaître les visiteurs qui reviennent comptait assez pour y consacrer un effort d’ingénierie.

Les raisons sont le plus souvent défensives. Le scoring de fraude, la protection contre la prise de contrôle de comptes, le filtrage des bots, l’abus d’essais gratuits et de codes promotionnels, la limitation de débit en sont les usages courants, avec derrière eux la personnalisation et l’application des paywalls. Sa présence signale donc un site qui possède quelque chose qui vaut la peine d’être volé ou détourné, ce qui dessine une population bien plus restreinte et plus intéressante que celle des sites qui ont simplement activé un en-tête de sécurité.

En octobre 2026, nous détectons la bibliothèque sur 11 856 sites dans la catégorie Browser fingerprinting, dont 4 266 aux États-Unis, avec .com comme suffixe dominant. La géographie n’est pas un détail ici, parce que l’empreinte de navigateur se trouve au cœur d’un débat réglementaire actif sur le consentement et le pistage, et parce que la juridiction dans laquelle un site opère change ce qu’il a le droit de faire d’un identifiant qui survit à la suppression des cookies.

Le projet a une histoire inhabituelle qui complique tout décompte le concernant. Créée en 2012 comme bibliothèque open source sous licence MIT, puis transformée en produit commercial par Fingerprint Inc., la technologie existe aujourd’hui à la fois comme bibliothèque côté client gratuite que n’importe qui peut intégrer et comme service payant, avec identification côté serveur et précision supérieure. Un robot d’exploration voit un script, pas un contrat, si bien que distinguer une installation de loisir d’un déploiement d’entreprise n’est pas toujours possible à partir de la seule page.

Les données de version reflètent cette coupure. 40 versions apparaissent dans le dataset et 2 est la ligne de publication que nous voyons le plus souvent, ce qui arrive lorsqu’une bibliothèque gratuite continue de fonctionner indéfiniment et que rien n’impose de mise à jour, tandis que les clients payants avancent à un autre rythme, sous un autre modèle de distribution.

La sous-estimation va dans une direction prévisible, et il faut le dire. Les déploiements commerciaux passent fréquemment par un sous-domaine du client lui-même, précisément pour que les bloqueurs et les extensions de confidentialité ne reconnaissent pas la requête, et ce montage rend aussi l’attribution plus difficile depuis l’extérieur. Les builds empaquetés et auto-hébergés sont tout aussi opaques. La population visible penche donc vers les simples intégrations de la bibliothèque, et l’empreinte réelle de la technique est plus large que n’importe quelle liste de sites qui chargent un script reconnaissable.

Dans ces limites, l’extraction répond à des questions auxquelles une requête domaine par domaine ne peut pas répondre. Les fournisseurs qui vendent de la lutte contre la fraude, de la gestion d’identité et de la protection contre les bots veulent une carte de ceux qui ont déjà adopté l’approche et de ceux qui ne l’ont pas fait, puisque les deux groupes appellent des argumentaires différents. Les chercheurs en protection de la vie privée et les régulateurs veulent une population mesurable plutôt que des anecdotes sur une pratique difficile à observer à grande échelle. Les équipes de sécurité qui auditent les chaînes d’approvisionnement veulent savoir quels scripts tiers collectent des signaux d’appareil sur les sites dont elles dépendent. Ces trois publics ont besoin de l’ensemble complet, segmenté par pays et par suffixe et comparable d’une publication à l’autre, et la vérification d’un seul domaine n’apporte rien de tout cela.