Une publicité ciblée n’est pas un marchand qui vend votre nom. C’est une enchère automatisée qui décrit votre visite à des dizaines de sociétés, dont toutes celles qui perdent.
Quand une page financée par la publicité s’ouvre, votre navigateur ne contacte pas un annonceur : il déclenche une enchère. Un descriptif de la page, de votre appareil et des identifiants qui vous suivent part simultanément vers des dizaines de sociétés d’achat, qui répondent en moins de 200 millisecondes. Une seule gagne l’affichage, toutes ont reçu le descriptif. Le cookie tiers n’est plus que l’un des trois moyens de vous reconnaître, à côté de l’identifiant publicitaire du téléphone et du suivi opéré depuis les serveurs du site, que les bloqueurs ne voient pas passer.
Vous avez comparé des lave-linge un mardi soir. Le mercredi matin, un site d’information vous propose le même modèle, en haut de page. La conclusion qui vient à l’esprit est fausse : le marchand n’a pas vendu votre nom au journal, et le journal ignore qui vous êtes.
Ce qui s’est produit est à la fois plus mécanique et plus large. L’ouverture de la page a déclenché une vente aux enchères automatisée. Un descriptif de la page, de votre appareil et des identifiants attachés à votre navigateur est parti au même instant vers des dizaines de sociétés d’achat publicitaire. L’une d’elles avait mémorisé la veille un identifiant vu chez le marchand. Elle a misé plus haut. Tout cela a duré moins longtemps que le chargement de l’image.
Cette chaîne se décrit précisément, parce que ses formats techniques sont publics. La connaître change la façon de se protéger : chaque maillon a son point de coupure, et les gestes les plus populaires ne sont pas les plus efficaces.
Un site financé par la publicité ne stocke pas les bannières qu’il affiche. Il réserve des emplacements vides. À l’ouverture de la page, un script demande à une plateforme d’offre, la régie technique du site, de remplir chaque emplacement. Cette plateforme fabrique alors un appel d’offres et le diffuse aux acheteurs.
Le contenu de cet appel d’offres n’a rien de mystérieux. Le format dominant, OpenRTB, est une spécification publique de l’IAB Tech Lab, l’organisme technique de la profession, et sa liste de champs se lit comme un formulaire : adresse de la page consultée et mots-clés associés, format et position de l’emplacement, type d’appareil, système, langue, taille d’écran, opérateur, adresse IP parfois tronquée, localisation approximative, et un ou plusieurs identifiants qui vous désignent d’une visite à l’autre.
Les acheteurs sont des plateformes d’achat qui travaillent pour des annonceurs. Chacune consulte ses propres tables : ai-je déjà croisé cet identifiant, sur quels sites, dans quel segment l’ai-je rangé, combien suis-je prêt à payer pour cet affichage. Elle répond par un prix. La plateforme d’offre retient la meilleure enchère, l’annonce gagnante se charge, la page finit de s’afficher.
C’est le point que la métaphore de l’enchère fait rater. Dans une salle des ventes, les perdants repartent les mains vides. Ici, ils repartent avec l’information. Recevoir l’appel d’offres suffit à connaître la page que vous consultez, votre appareil et votre identifiant, même en ne misant pas. Rien, dans le protocole, n’oblige un acheteur à effacer ce qu’il a reçu, et rien ne permet de vérifier de l’extérieur qu’il le fait.
Deuxième mécanique invisible : la synchronisation des identifiants. Chaque société a son propre numéro pour vous, écrit dans son propre cookie. Pour que la plateforme d’achat A comprenne que l’identifiant transmis par la plateforme d’offre B désigne la même personne, les deux échangent leurs tables de correspondance, par des redirections successives déclenchées dans votre navigateur. Ce ballet représente une part notable des requêtes réseau d’une page chargée en publicité, et il ne produit strictement aucun pixel visible.
Le cadre de consentement du secteur, qui encode vos choix dans une chaîne de caractères transmise avec l’appel d’offres, a lui-même été jugé par la Cour de justice de l’Union européenne le 7 mars 2024 : cette chaîne est une donnée à caractère personnel, et l’organisme qui l’a conçue est responsable conjoint du traitement. Autrement dit, l’enregistrement de votre refus est un traitement de données de plus.
| Acteur | Rôle | Ce qu’il reçoit de votre visite |
|---|---|---|
| Éditeur du site | Vend l’espace, encaisse | Sa propre audience, et rien de ce que voient les acheteurs |
| Plateforme d’offre | Met l’emplacement aux enchères | Tout le descriptif, qu’elle fabrique elle-même |
| Place de marché | Achemine l’appel d’offres et arbitre | Le descriptif complet de chaque impression |
| Plateforme d’achat | Mise pour le compte d’annonceurs | Le descriptif, qu’elle gagne ou qu’elle perde |
| Annonceur | Paie l’affichage | Des agrégats, et les visites consécutives sur son site |
| Fournisseur de segments | Vend des catégories de profils | Des identifiants à rapprocher de ses propres bases |
| Mesureur indépendant | Vérifie que la bannière a été vue | Un signal d’affichage, et souvent le même identifiant |
L’éditeur du site est le maillon le moins informé de la chaîne, ce qui explique une réponse fréquente des services clients : « nous ne collectons pas ces données ». C’est souvent exact au sens strict, et sans effet sur ce qui se passe dans la page.
Un identifiant publicitaire n’a pas besoin de votre nom. Il lui suffit d’être stable. Trois familles coexistent aujourd’hui, et elles ne se neutralisent pas par les mêmes gestes.
| Cookie tiers | Identifiant publicitaire mobile | Identifiant déterministe | |
|---|---|---|---|
| Où il vit | Dans un navigateur | Dans le système du téléphone | Chez l’annonceur et ses partenaires |
| Portée | Un navigateur sur un appareil | Toutes les applications d’un appareil | Tous vos appareils à la fois |
| Origine | Déposé au chargement d’une page | Attribué par le système | Votre adresse e-mail ou votre numéro, transformés en empreinte |
| Ce qui l’efface | Vider les cookies, ou un navigateur qui les bloque | Le réinitialiser dans les réglages | Presque rien, sauf changer d’adresse |
| Durée maximale en France | Treize mois | Jusqu’à réinitialisation | Fixée par le responsable de traitement |
Le cookie tiers est le plus connu et le plus fragile. Safari le bloque par défaut depuis 2020, Firefox le cloisonne site par site depuis 2022, et Chrome, après avoir annoncé sa suppression, a renoncé à la programmer. L’identifiant déterministe, lui, ne dépend d’aucun navigateur : il naît quand vous saisissez votre adresse e-mail dans un formulaire, et il traverse le téléphone, l’ordinateur et la tablette. C’est le successeur sérieux du cookie tiers, décrit en détail dans ce qui remplace le cookie tiers. Une adresse ouverte dans un courriel promotionnel alimente la même mécanique, comme l’expliquent les pixels de suivi des e-mails.
Quand aucun des trois n’est disponible, il reste le repli : reconstituer une signature à partir des caractéristiques techniques de votre appareil. C’est l’empreinte du navigateur, moins fiable mais insensible à l’effacement des cookies.
Sur mobile, l’essentiel du temps se passe dans des applications, pas dans un navigateur. Chaque système attribue donc un identifiant publicitaire unique, lisible par toutes les applications installées. Il n’est pas cloisonné, il ne disparaît pas quand vous désinstallez une application, et il relie entre elles des activités que rien ne rapprochait : un jeu, une application de météo, un lecteur de presse et une enseigne de bricolage.
Les deux systèmes l’ont encadré différemment. Depuis le printemps 2021, iOS impose à toute application qui veut lire cet identifiant d’afficher une demande explicite ; une minorité l’accepte, de l’ordre d’une personne sur quatre selon les estimations du secteur. L’Autorité de la concurrence a d’ailleurs sanctionné en mars 2025 les modalités de mise en œuvre de ce dispositif, non son principe. Android permet de réinitialiser l’identifiant et, depuis la même période, de le supprimer complètement : les applications reçoivent alors une valeur nulle.
Le modèle historique était visible : un script tiers s’exécutait dans votre navigateur et parlait à un domaine bien connu, que les listes de blocage reconnaissaient. Deux techniques ont déplacé le problème.
La première est le masquage par alias de domaine. Le site crée un sous-domaine à lui, du type mesure.exemple.fr, et le fait pointer par un alias DNS vers l’infrastructure d’un prestataire de suivi. Pour le navigateur, la requête reste interne au site : le cookie déposé est un cookie propriétaire, il échappe au blocage des cookies tiers et vit plus longtemps. Effet secondaire rarement mesuré par les sites eux-mêmes : tous les cookies portés par le domaine parent, y compris ceux d’authentification mal cloisonnés, partent avec la requête vers le prestataire.
La seconde est le marquage côté serveur. Votre navigateur n’envoie plus qu’une requête, vers un point de collecte hébergé par le site. C’est ensuite le serveur du site qui redistribue l’information aux plateformes publicitaires, par des interfaces de programmation dédiées, en y ajoutant ce que le navigateur n’a jamais su : montant de la commande, référence client, adresse e-mail transformée en empreinte, statut de fidélité.
La règle applicable n’est pas le RGPD seul, mais l’article 82 de la loi Informatique et Libertés, transposition de la directive européenne dite ePrivacy. Sa rédaction est plus large qu’on ne le croit : elle vise toute action tendant à accéder à des informations déjà stockées dans un terminal, ou à en inscrire. Le mot « cookie » n’y figure pas. Un mouchard intégré à une application, un pixel, un stockage local ou une lecture de caractéristiques matérielles relèvent du même régime.
Les principes posés par la CNIL en septembre 2020 tiennent en peu de lignes : le consentement est préalable, libre, spécifique, et refuser doit être aussi simple qu’accepter ; la poursuite de la navigation ne vaut pas acceptation ; les traceurs ne vivent pas plus de treize mois et les données qu’ils produisent pas plus de vingt-cinq ; le choix doit pouvoir être retiré aussi facilement qu’il a été donné. Sont exemptés de consentement les traceurs strictement nécessaires, comme le panier d’achat, l’authentification, la répartition de charge, et la mesure d’audience limitée sous conditions.
Ces règles ne sont pas restées théoriques. Fin décembre 2021, la CNIL a sanctionné deux très grandes plateformes à hauteur de 150 et de 60 millions d’euros, non pas pour ce qu’elles collectaient, mais parce que refuser demandait plusieurs clics quand accepter n’en demandait qu’un. En 2023, une société française de reciblage a été sanctionnée à hauteur de 40 millions d’euros, faute de pouvoir prouver que le consentement invoqué avait bien été recueilli par ses sites partenaires. La charge de la preuve pèse sur celui qui traite, pas sur vous.
Face à cette chaîne, vos droits restent ceux du RGPD : accès, opposition, effacement, limitation. Ils s’exercent même sans que le destinataire connaisse votre état civil, dès lors que vous lui fournissez l’identifiant technique. Le droit d’opposition au profilage publicitaire s’exerce auprès de chaque acteur, et la CNIL reçoit les plaintes quand la réponse tarde. La lecture pratique d’une fenêtre de consentement est détaillée dans le décodage d’un bandeau cookies.
Les gestes ci-dessous sont classés par rendement réel, pas par popularité. Les trois premiers font l’essentiel du travail.
Deux outils souvent cités ne figurent pas dans cette liste, faute d’effet. Le premier est le réseau privé virtuel, dont le périmètre réel se limite au trajet réseau. Le second est la confusion entre publicité ciblée et classement de contenus : ce qui décide de l’ordre de votre fil n’est pas la même machinerie, et relève du fonctionnement des algorithmes de recommandation.
Devant une publicité qui semble vous connaître, ne cherchez pas qui a parlé. Demandez-vous quel identifiant vous désigne à cet endroit précis : un cookie dans ce navigateur, l’identifiant publicitaire de ce téléphone, ou une adresse e-mail que vous avez donnée vous-même. Chacun se coupe autrement, et le troisième est le seul qui vous suive partout.
Rien ne l’étaye, et l’explication ordinaire suffit. Une écoute permanente coûterait une batterie et un volume de données considérables, alors que le ciblage obtient le même résultat avec ce que vous fournissez sans y penser : pages consultées, applications ouvertes, localisation approximative, achats, adresse e-mail communiquée à une enseigne. L’effet de coïncidence vient aussi du reciblage, qui vous suit après une recherche, et du ciblage par ressemblance, qui vise des personnes au profil proche du vôtre, y compris sur des sujets dont vous venez seulement de parler autour de vous.
Sur un site respectueux du droit, le refus bloque le dépôt et la lecture des traceurs publicitaires, donc la chaîne d’enchères ne se déclenche pas pour vous. Deux réserves : le refus vaut pour ce site et pour cet appareil seulement, et il ne s’applique pas aux traceurs strictement nécessaires ni à la mesure d’audience exemptée. Il doit par ailleurs vous être aussi facile de refuser que d’accepter, faute de quoi le consentement recueilli n’est pas valable.
Presque pas. Il change l’adresse IP vue par les sites, ce qui brouille la localisation déduite et un signal de rattachement parmi d’autres. Les cookies, l’identifiant publicitaire du téléphone, les comptes connectés et l’empreinte du navigateur continuent de vous désigner exactement comme avant. Un VPN vous protège d’un intermédiaire réseau, pas d’un écosystème publicitaire qui vous reconnaît à l’intérieur du tunnel.
Beaucoup moins qu’on ne l’imagine à l’échelle individuelle. Une bannière se paie quelques euros pour mille affichages, un format vidéo davantage. Une année de navigation d’une personne représente donc un ordre de grandeur de quelques dizaines d’euros de recettes réparties sur toute la chaîne. La valeur du système ne vient pas de vous, elle vient du volume et de la capacité à trier des dizaines de millions de personnes en quelques millisecondes.
Oui. Le droit d’accès s’applique à ces acteurs comme aux autres, y compris quand ils ne connaissent pas votre nom mais un identifiant technique. La difficulté est pratique : il faut leur fournir l’identifiant en question, visible dans les réglages de votre navigateur ou de votre téléphone. Les huit demandes possibles sont récapitulées dans le guide des droits RGPD.
Les liens ci-dessus renvoient vers les textes et les organismes cités. Les dates de consultation sont celles de la dernière relecture, le 13 septembre 2026.
Dans ce thème
Dans la rubrique
Mots de passe, arnaques, fuites de données et réflexes qui changent vraiment quelque chose.