Prévention du suivi dans Microsoft Edge

  • Article

La fonctionnalité de prévention du suivi dans Microsoft Edge protège les utilisateurs contre le suivi en ligne en limitant la capacité des suivis à accéder au stockage basé sur un navigateur ainsi qu’au réseau.

La fonctionnalité de prévention du suivi est conçue pour respecter la promesse de confidentialité du navigateur Microsoft Edge, tout en veillant à ce qu’il n’y ait aucun impact par défaut sur la compatibilité du site web ou la viabilité économique du web.

Niveaux de prévention du suivi

Microsoft Edge offre actuellement aux utilisateurs trois niveaux de prévention du suivi, qui sont sélectionnés en accédant à edge://settings/privacy.

Trois paramètres de prévention du suivi

  1. De base : le niveau le moins restrictif de prévention du suivi conçu pour les utilisateurs qui aiment les publicités personnalisées et qui ne se soucient pas d’être suivis sur le web. Basic protège uniquement les utilisateurs contre les dispositifs de suivi malveillants tels que les empreintes digitales et les cryptomineurs.

  2. Équilibré (par défaut) : niveau par défaut de prévention du suivi conçu pour les utilisateurs qui souhaitent voir des publicités moins personnalisées tout en réduisant le risque de problèmes de compatibilité lorsqu’ils naviguent sur le web. Balanced vise à bloquer les suivis des sites avec tableaux de suivi que les utilisateurs ne s’engagent jamais.

  3. Strict : le niveau le plus restrictif de prévention du suivi conçu pour les utilisateurs qui sont en droit de négocier la compatibilité du site web pour une confidentialité maximale.

La fonctionnalité de prévention du suivi dans Microsoft Edge est composée de trois composants main qui fonctionnent ensemble pour déterminer si une ressource spécifique d’un site web doit être classée comme un suivi et bloquée. Les composants sont les suivants :

  • Classification : la façon dont Microsoft Edge détermine si une URL appartient à un suivi.

  • Application : actions effectuées pour protéger les utilisateurs de Microsoft Edge contre les URL classifiées en tant que suivis.

  • Atténuations : les mécanismes fournis pour garantir que les sites favoris spécifiés par l’utilisateur fonctionnent toujours, tout en offrant une protection par défaut forte.

Chacun des composants est exploré et expliqué en détail sur cette page.

Classification

Le premier composant de la fonctionnalité de prévention du suivi dans Microsoft Edge est la classification. Pour classifier les suivis en ligne et les regrouper en catégories, Microsoft Edge utilise les listes de protection de déconnexion open source de suivi. Les listes sont fournies via le composant « Listes de protection d’approbation », qui est visible à l’adresse edge://components. Après avoir été téléchargées, les listes sont stockées sur le disque où vous pouvez les utiliser pour déterminer si une URL particulière est classifiée ou comment.

Pour déterminer si une URL est considérée comme un suivi par le système de classification dans Microsoft Edge, une série de noms d’hôtes sont vérifiés, en commençant par une correspondance exacte, puis en passant à case activée des correspondances partielles pour jusqu’à quatre étiquettes au-delà du domaine de niveau supérieur.

Exemple :

URL :https://a.subdomain.of.a.known.tracker.test/some/path

Noms d’hôtes testés :

  • a.subdomain.of.a.known.tracker.test
  • of.a.known.tracker.test
  • a.known.tracker.test
  • known.tracker.test
  • tracker.test

Si l’un de ces noms d’hôte correspond à un nom d’hôte dans les listesDisconnect, Microsoft Edge procède à l’évaluation des actions d’application pour empêcher le suivi des utilisateurs.

Application

Pour fournir une protection contre les actions de suivi sur le web, Microsoft Edge prend deux mesures de mise en œuvre contre les suivis classifiés :

  • Restreindre l’accès au stockage : si une ressource de suivi connue tente d’accéder à un stockage web dans lequel elle peut tenter de conserver des données sur l’utilisateur, Microsoft Edge bloque cet accès. Cela inclut la limitation de la possibilité pour ce dispositif de suivi d’obtenir ou de définir des cookies, ainsi que d’accéder aux API de stockage telles que IndexedDB et localStorage.

  • Bloquer les chargements de ressources : si une ressource de suivi connue est chargée sur un site web, Microsoft Edge peut bloquer ce chargement avant que la requête n’atteigne le réseau en fonction de l’impact sur la compatibilité de la charge et du paramètre de prévention du suivi défini par un utilisateur. Les charges bloquées peuvent inclure des scripts de suivi, des pixels, des iframes, etc. Cela empêche les données potentiellement envoyées au domaine de suivi et peut même améliorer les temps de chargement et les performances des pages en tant qu’effet secondaire.

Un utilisateur peut choisir l’icône de menu volant d’informations de page sur le côté gauche de la barre d’adresses pour savoir quels suivis ont été bloqués sur une page spécifique :

Suivis bloqués dans le menu volant des informations de page

La façon dont les mises en œuvre sont appliquées dépend du niveau de prévention du suivi sélectionné par l’utilisateur et des atténuations qui peuvent s’appliquer.

Atténuations

Pour garantir que la compatibilité web est préservée autant que possible, Microsoft Edge a trois mesures d’atténuation pour aider à équilibrer les mises en œuvre dans des situations spécifiques. Il s’agit de l’atténuation de la relation d’organisation, de l’atténuation de l’engagement de l’organisation et de la liste CompatExceptions.

Avant de vous plonger dans les atténuations, il est utile de définir le concept d'« organisation » ou « organisation » en abrégé. Disconnect gère également une liste appelée entities.json qui définit des groupes d’URL appartenant au même parent organization/société. La fonctionnalité de prévention du suivi dans Microsoft Edge utilise cette liste à la fois dans l’atténuation de la relation entre l’organisation et l’atténuation de l’engagement de l’organisation pour réduire l’occurrence de problèmes de compatibilité causés par la prévention du suivi affectant les demandes inter-organisationnelles.

Atténuation des relations d’organisation

Plusieurs sites web populaires gèrent à la fois les sites web et les réseaux de distribution de contenu (CDN) pour fournir des ressources statiques et du contenu à ces sites. Pour garantir que ces types de scénarios ne sont pas affectés par la prévention du suivi, Microsoft Edge exempte un site de la prévention du suivi lorsque le site effectue des demandes tierces à d’autres sites appartenant au même organization parent (comme défini dans la liste Disconnect entities.json). Ceci est mieux illustré par un exemple.

Exemple :

Un organization nommé Org1 possède les domaines org1.test et org1-cdn.test, comme défini dans la liste Disconnect entities.json. Imaginez qu’il org1-cdn.test est classé comme un dispositif de suivi et que des mesures de prévention de suivi lui seraient normalement appliquées. Si un utilisateur visite https://org1.test et que le site tente de charger une ressource à partir de https://org1-cdn.test, Microsoft Edge n’effectue aucune action d’application contre les demandes adressées à org1-cdn.test , même s’il ne s’agit pas d’une URL interne. Toutefois, si une autre URL qui ne fait pas partie de l’organization Org1 tente de charger cette même ressource, la demande est soumise à des applications, car elle ne fait pas partie du même organization.

Même si cela assouplit les mesures de prévention de suivi pour les sites qui appartiennent au même organization, il est peu probable que cela introduise un risque élevé de confidentialité, car ces organisations sont en mesure de déterminer les sites/ressources auxquels https://org1.test vous avez accédé, ainsi https://org1-cdn.test qu’à l’aide de données internes de back-end.

Atténuation de l’engagement de l’organisation

L’atténuation de l’engagement de l’organisation a été créée pour réduire les risques de compatibilité introduits par la prévention du suivi en garantissant que les sites appartenant à des organisations avec lesquels les utilisateurs s’impliquent suffisamment continuent de fonctionner comme prévu sur le web. Il utilise l’engagement de site pour assouplir les mises en œuvre chaque fois qu’un utilisateur a établi une relation continue (actuellement définie par un score d’engagement de site de 4,1 ou supérieur) avec un site donné. Ceci est encore mieux illustré par un exemple :

Exemple :

Une organization nommée Social Org possède les domaines social.example et social-videos.example.

Les utilisateurs sont considérés comme ayant une relation avec Social Org s’ils ont établi un score d’engagement de site de 4,1 ou supérieur avec l’un des domaines appartenant à Social Org.

Si un autre site, https://content-embedder.example, inclut du contenu tiers (par exemple une vidéo incorporée de social-videos.example) provenant de l’un des domaines appartenant à Social Org qui serait normalement limité par des mesures de prévention de suivi, le site est exempté du suivi des mises en œuvre de prévention tant que le score d’engagement du site de l’utilisateur avec des domaines appartenant à Social Org est maintenu au-dessus du seuil.

Si un site n’appartient pas à un organization, un utilisateur doit établir un score d’engagement de site de 4,1 ou plus directement avant que les blocs de charge d’accès/de ressources de stockage imposés par la prévention du suivi soient assouplis.

L’atténuation de l’engagement de l’organisation est actuellement appliquée uniquement en mode équilibré afin que Microsoft Edge offre les protections les plus élevées possibles pour les utilisateurs qui ont choisi Strict.

Liste CompatExceptions

D’après les commentaires récents des utilisateurs reçus par Microsoft, Microsoft Edge tient à jour une petite liste de sites (dont la plupart sont dans la catégorie Contenu de déconnexion) qui se sont rompus en raison de la prévention du suivi malgré les deux atténuations ci-dessus en place. Les sites figurant sur cette liste ne sont pas soumis au suivi des mesures de prévention. La liste se trouve sur le disque aux emplacements décrits ci-dessous. Les utilisateurs peuvent remplacer les entrées qu’il contient à l’aide de l’option Bloquer dans edge://settings/content/cookies.

Pour éviter de conserver cette liste à l’avenir, Microsoft travaille actuellement sur l’API d’accès au stockage dans le codebase open source. L’API d’accès au stockage offre aux développeurs de site un moyen de demander directement l’accès au stockage aux utilisateurs, offrant aux utilisateurs une plus grande transparence sur la façon dont leurs paramètres de confidentialité affectent leur expérience de navigation, et donnant aux développeurs de site des contrôles pour se débloquer rapidement et intuitivement.

Une fois l’API d’accès au stockage implémentée, Microsoft déconseillera la liste CompatExceptions et contactera les sites concernés pour les informer des problèmes et leur demander d’utiliser l’API Accès au stockage à l’avenir.

Comportement actuel de prévention du suivi

Le tableau suivant présente les actions d’application et les atténuations qui sont appliquées à chaque catégorie de suivi classifié dans Microsoft Edge.

  • En haut se trouvent les catégories de suivis définies par les catégories de liste de protection contre le suivi de déconnexion.
  • Le côté gauche se trouvent les trois niveaux de prévention du suivi dans Microsoft Edge (De base, Équilibré et Strict).
  • La lettre S indique que l’accès au stockage est bloqué.
  • La lettre B indique que l’accès au stockage et les charges de ressources (telles que les demandes réseau) sont bloqués.
  • Un trait d’union (-) indique qu’aucun bloc n’est appliqué à l’accès au stockage ou aux chargements de ressources.
Publicité Analyse Contenu Cryptomining Empreintes digitales Social Autre Atténuation de la même organisation Atténuation de l’engagement de l’organisation
Basique - - - B B - - Activé S/O
Équilibré S - S B B S S Activé Activé
Strict B B S B B B B Activé Désactivé

Remarque

L’atténuation de l’engagement de l’organisation ne s’applique pas aux catégories Cryptomining ou Fingerprinting.

Conseil

Le mode strict bloque plus de charges de ressources que l’équilibre. Le blocage d’un plus grand nombre de charges de ressources peut avoir pour effet que le mode Strict semble bloquer moins de demandes de suivi que Équilibré, car les suivis qui effectuent les requêtes ne sont jamais chargés.

Remarque

La colonne Empreinte digitale dans Comportement actuel de prévention du suivi fait référence aux suivis qui figurent dans la liste d’empreintes digitales en plus d’une autre liste. Les dispositifs de suivi qui apparaissent uniquement sur la liste des empreintes digitales sont considérés comme des empreintes digitales non malveillantes et ne sont pas bloqués.

Comportement InPrivate

Par défaut, les fenêtres InPrivate dans Microsoft Edge utilisent les mêmes paramètres de prévention de suivi que les fenêtres normales.

Pour toujours appliquer le niveau « Strict » de prévention du suivi aux fenêtres InPrivate :

  1. Accédez à edge://settings/privacy.
  2. Cliquez sur Toujours utiliser la prévention de suivi « Strict » lors de la navigation dans InPrivate.

Déterminer si/comment une URL particulière est classifiée

Pour déterminer si une URL spécifique est classée comme un dispositif de suivi connu :

  1. Ouvrez DevTools et ouvrez l’outil Console .

  2. Actualisez la page web.

    Vous pouvez d’abord effacer les cookies et d’autres données de site pour réinitialiser les scores d’engagement du site et garantir une ardoise entièrement propre.

  3. Recherchez les messages qui lisent Tracking Prevention blocked access to storage for <URL>. Vous pouvez développer les messages pour afficher les URL individuelles qui ont été bloquées.

  4. Si vous devez déterminer la catégorie dans laquelle se trouve un site bloqué spécifique, le moyen le plus simple consiste à le rechercher dans la liste Disconnect services.json. Les entrées étant alphabétiques, le fait de faire défiler vers le haut d’un bloc d’entrées de site vous permet de trouver la catégorie spécifique d’un site particulier.

Listes de prévention du suivi d’accès stockées sur le disque

Si vous avez besoin d’accéder aux listes de prévention du suivi stockées sur disque, chacune d’elles se trouve à l’un des deux emplacements suivants :

Mises à jour basées sur les composants : listes téléchargées à partir du composant « Listes de protection d’approbation »

Windows: %LOCALAPPDATA%\Microsoft\Edge <OptionalChannelName>\User Data\Trust Protection Lists

Macos: ~/Library/Application Support/Microsoft Edge <OptionalChannelName>/Trust Protection Lists

Répertoire d’installation : listes qui sont regroupées avec microsoft Edge Installer. Si vous avez sélectionné un autre répertoire d’installation, vos chemins d’accès exacts peuvent être différents.

Windows: %PROGRAMFILES(x86)%\Microsoft\ Edge <OptionalChannelName>\Application<Version>\Trust Protection Lists

Macos: /Applications/Microsoft Edge.app/Contents/Frameworks/Microsoft Edge Framework.framework/Libraries/Trust Protection Lists

Forum Aux Questions

La section suivante contient des réponses aux questions fréquemment posées sur la fonctionnalité de prévention du suivi dans Microsoft Edge.

Existe-t-il un moyen de bloquer ou d’autoriser des suivis spécifiques à des fins de débogage ?

Actuellement, Microsoft Edge expose uniquement une option permettant de désactiver l’exécution des applications de prévention du suivi sur un site spécifié. Cette option est accessible via le menu volant d’informations de la page ou via la edge://settings/privacy/trackingPreventionExceptions page.

Cela dit, les options Bloquer et Autoriser de la edge://settings/content/cookies page peuvent être utilisées pour autoriser ou refuser l’accès à un stockage par des domaines spécifiques, tels que les cookies et d’autres mécanismes de stockage du navigateur. Cela est utile pour déboguer les problèmes de site provoqués par des mises en œuvre de prévention du suivi bloquant l’accès au stockage pour un site spécifique.