E-mail anonyme et zéro pistage : la nouvelle arme du navigateur Brave contre le ciblage secret (de Meta et d’autres)

Même avec un bloqueur de pub, Meta et Google croisent votre adresse mail en secret sur leurs serveurs ! Pour boucher cette fuite, Brave 1.94 lance des adresses e-mail jetables gratuites et déploie le protocole cryptographique OPAQUE (RFC 9807). Explications sur cette mise à jour majeure du navigateur web open source.

Les bloqueurs de publicité traditionnels neutralisent efficacement les scripts de suivi intégrés aux pages web, mais les régies publicitaires (comme ceux de Meta, Google ou LinkedIn) ont trouvé la parade en basculant leur ciblage côté serveur (server-side matching). En collectant l’adresse e-mail saisie lors d’un achat ou d’une inscription, ces géants croisent vos données d’un site à l’autre à votre insu. Pour boucher définitivement cette fuite de vie privée, l’éditeur déploie sa mise à jour Brave 1.94 desktop en y intégrant un système d’alias e-mail natifs et un modèle d’authentification chiffré de bout en bout.

La parade des alias natifs

Véritable identifiant universel, l’adresse électronique permet aux courtiers en données de dresser des profils comportementaux d’une précision redoutable. Lorsqu’un utilisateur effectue un achat en ligne, le marchand transmet souvent ce mail au serveur de Meta pour vérifier s’il correspond à un compte Facebook ou Instagram existant. L’opération se déroulant hors du navigateur, aucune extension classique ne peut l’intercepter.

Intégrée directement aux formulaires de saisie du navigateur, la fonctionnalité Email Aliases permet de générer des adresses de réexpédition uniques et jetables.

Les messages envoyés vers l’alias sont automatiquement transférés vers l’adresse principale sans que le site marchand ne connaisse le mail réel. En cas de fuite de données ou de spams intempestifs, l’alias incriminé peut être désactivé instantanément.

Offre de lancement : Brave propose 5 alias gratuits par utilisateur pour amorcer le service, avec des notes locales ou synchronisées de manière chiffrée via Brave Sync, comme détaillé dans la documentation sur les alias Brave.

Poyr l’heure, cette nouveauté n’est disponible que sur la version gratuite de Brave, et n’a pas été mise à disposition des utilisateurs de Brave Origin, la déclinaison payante épurée.

Payer 52 € pour un navigateur « vide » ? Le pari un peu fou de Brave Origin 💸

Le mot de passe ne quitte jamais l’appareil

Pour faire fonctionner ce service d’alias, le navigateur introduit les Brave Accounts. Contrairement aux systèmes de connexion classiques où le serveur reçoit le mot de passe (même brièvement en mémoire ou sous forme de hachage), Brave adopte la toute récente spécification RFC 9807 (OPAQUE) élaborée par l’IRTF.

Grâce à ce protocole de mise en correspondance cryptographique (aPAKE), la validation s’effectue via une « danse » mathématique basée sur des courbes elliptiques et la fonction Argon2id : ainsi, le mot de passe réel n’est jamais transmis au serveur, ni en clair, ni sous forme de hachage réutilisable. Si la base de données de Brave venait à être piratée, les attaquants n’y trouveraient aucune donnée leur permettant de déduire les mots de passe des utilisateurs. Enfin, l’utilisation d’une clé secrète côté serveur rend impossible la création de dictionnaire d’attaques préalable par les cybercriminels.

Comme l’explique l’équipe dans son billet de blog sur Brave Accounts, l’accès au service est disponible dès maintenant depuis les réglages du navigateur (brave://settings/email-aliases) et préfigure une arrivée prochaine sur les plateformes mobiles iOS et Android. L’ensemble du code source reste consultable sur le dépôt GitHub de Brave.

🦋 L’actualité de l’open source en français dans votre flux. Suivez Goodtech sur Bluesky (ou vos applications AT Protocol comme W Social et Mu) grâce à notre compte officiel. Suivez, partagez, abonnez-vous à @goodtech.info !