AliExpress pris la main dans le sac : le site chinois vous écoutait peut-être… en silence

Sacrée découverte : le géant chinois diffusait un son inaudible pour créer une empreinte unique de votre ordinateur. Heureusement, Brave, le navigateur web open source, et uBlock Origin bloquent désormais cette méthode intrusive. On vous explique tout.

Les géants de l’e-commerce redoublent d’inventivité pour lutter contre la fraude et les robots, mais l’utilisation de méthodes clandestines franchit une ligne rouge en matière de vie privée. La plateforme chinoise AliExpress a été prise en flagrant délit de traçage abusif par le biais de la Web Audio API. En diffusant un signal sonore inaudible dès l’ouverture de sa page d’accueil, le site parvenait à générer un identifiant matériel unique sur les ordinateurs de ses visiteurs, à leur insu.

Une anomalie Bluetooth a vendu la mèche

C’est un effet secondaire imprévu sur du matériel audio qui a permis de lever le lièvre. Tout commence lorsqu’un développeur constate un comportement anormal : ses écouteurs Bluetooth multipoint, normalement capables de basculer automatiquement entre son ordinateur et son smartphone, refusaient subitement de laisser passer le son du téléphone dès qu’un onglet AliExpress était ouvert.

Alibaba’s AliExpress was caught using users’ audio systems to track them.

AliExpress wasn’t recording users but instead playing a silent sound and measuring how users’ specific devices processed it in order to fingerprint them.

But don’t worry because Brave stops this.

— Brave (@brave) August 22, 2026

En approfondissant l’enquête dans un rapport technique très détaillé relayé sur Hacker News, l’analyste a découvert que deux scripts anti-fraude d’Alibaba (collina.js et fireyejs.js) créaient en réalité un flux audio permanent avec un gain réglé à zéro. Même si aucun son ne sort des haut-parleurs et que l’onglet du navigateur est mis en sourdine, l’ordinateur continue de solliciter activement sa carte son.

Comment fonctionne le fingerprinting par son silencieux ?

Cette méthode s’appuie sur une technique redoutable appelée le fingerprinting audio (ou empreinte numérique acoustique). Les scripts génèrent un signal en dent de scie via la Web Audio API et mesurent la façon exacte dont le processeur, le système d’exploitation et la carte son traitent cette onde sonore.

Chaque composant électronique et chaque pilote de système d’exploitation introduisant d’infimes variations microscopiques lors du traitement du signal, cette empreinte acoustique unique permet de reconnaître un appareil spécifique. Combinée au rendu graphique Canvas, aux paramètres WebGL et aux dimensions de l’écran, cette signature sonore permet d’identifier l’utilisateur avec une précision chirurgicale sans avoir besoin de déposer le moindre cookie.

La riposte de Brave

Face à ces pratiques de traçage invisibles qui contournent les réglages de sourdine classiques des navigateurs propriétaires, les alternatives défendant la vie privée font la différence. C’est notamment le cas révélé dans une publication de Brave sur X, où le projet rappelle que Brave, le navigateur web open source, intègre depuis plus de six ans des mécanismes de protection contre le fingerprinting audio.

Le navigateur libre injecte un bruit aléatoire imperceptible dans les réponses de la Web Audio API et réinitialise ces valeurs à chaque session. Ainsi, deux sites différents reçoivent des empreintes complètement distinctes et inutilisables pour le profilage commercial.

Pour les internautes naviguant sur d’autres navigateurs basés sur du code ouvert comme Firefox, il reste possible de neutraliser ces scripts intrusifs. L’extension uBlock Origin permet de bloquer directement les fichiers collina.js et fireyejs.js hébergés sur les serveurs d’AliExpress, restituant immédiatement la main sur la carte son de son ordinateur.

🦋 L’actualité de l’open source en français dans votre flux. Suivez Goodtech sur Bluesky (ou vos applications AT Protocol comme W Social et Mu) grâce à notre compte officiel. Suivez, partagez, abonnez-vous à @goodtech.info !