En bref : qu'est-ce que l'intelligence d'appareil
- Signaux de navigateur, appareil et réseau combinés en un ID d'appareil stable qui survit aux vidages de cookies et fenêtres privées.
- Les entrées : empreinte de navigateur, empreinte TLS, cadence comportementale, IP et ASN, historique. 102+ signaux collectés, 40+ d'entre eux hashés en un identifiant persistant.
- Où ça se rentabilise : prévention d'account-takeover, preuves de chargeback, conformité VAMP, disputes Visa CE 3.0.
Pourquoi les anciennes approches ont cessé de fonctionner
Les applications web ont été conçues pour identifier des utilisateurs, pas des appareils. Les identifiants sur lesquels elles s'appuyaient étaient tous contrôlables par l'utilisateur, et la fraude a évolué pour exploiter cela.
Les cookies tiers ont été les premiers à tomber. Safari a commencé à les bloquer en 2020, et les utilisateurs soucieux de leur vie privée supprimaient déjà les cookies internes bien avant cela. La navigation privée crée un nouveau pot de cookies à chaque session. Toute méthode qui dépend d'un cookie persistant d'une visite à l'autre se brise dès que l'utilisateur vide son navigateur ou ouvre une fenêtre privée.
Les adresses IP ressemblaient à un signal de niveau matériel, mais les réseaux de proxys résidentiels ont fait voler en éclats cette hypothèse. Un service de proxy peut faire tourner l'adresse IP d'origine à chaque requête, ce qui fait passer un même appareil pour un visiteur différent à chaque fois. Les VPN changent l'IP à chaque connexion de l'utilisateur. Et les adresses IP partagées, utilisées par les réseaux d'entreprise et les campus universitaires, font qu'une seule adresse peut représenter des centaines de personnes.
Les jetons de session résolvent un autre problème. Ils suivent l'état authentifié d'une session, pas l'identité de l'appareil. Dès que l'onglet du navigateur se ferme, la session prend fin. Les jetons de session sont utiles au sein d'une visite, mais ils ne peuvent pas relier un utilisateur récurrent d'une visite à l'autre.
Les cookies internes sont plus persistants que les cookies tiers, mais ils se heurtent au même problème fondamental. Un utilisateur qui vide ses cookies, ou un navigateur réglé pour effacer les cookies à la fermeture, réinitialise tout identifiant que vous avez stocké. Les utilisateurs soucieux de leur vie privée, qui recoupent largement les enquêteurs antifraude et les fraudeurs, le font systématiquement.
Le schéma est le même dans tous ces cas. Chaque approche reposait sur des données stockées sur l'appareil de l'utilisateur, ce qui laissait à ce dernier le contrôle de leur persistance.
Comment fonctionne le device intelligence
Le device intelligence lit des signaux passifs issus de l'environnement matériel et logiciel de l'appareil au lieu d'y stocker un identifiant. Ces signaux ne peuvent pas être supprimés par l'utilisateur, car ils n'ont jamais été écrits dans le navigateur au départ. Ce sont des caractéristiques de l'appareil lui-même.
Le navigateur expose des centaines de ces signaux via des API JavaScript standard. Les plus significatifs figurent ci-dessous.
Empreinte canvas. Lorsque le navigateur rend un élément canvas caché avec une opération de dessin donnée, la sortie en pixels diffère subtilement d'un appareil à l'autre selon le GPU, le pilote graphique et l'implémentation de l'anticrénelage. Deux appareils aux spécifications identiques mais aux versions de pilote différentes produisent des sorties canvas mesurablement différentes. Ce signal reste stable après un redémarrage du navigateur, en navigation privée et après l'effacement des cookies, car il reflète le comportement du matériel, pas des données stockées.
Rendu des polices. Chaque système d'exploitation et chaque pile graphique affiche les polices installées différemment au niveau du sous-pixel. L'ensemble précis des polices installées et leur manière de s'afficher produisent un signal très distinctif.
Empreinte WebGL. Les charges de travail WebGL exposent en détail le comportement de la carte graphique. L'empreinte WebGL d'un appareil reflète le modèle de GPU, la version du pilote et le pipeline de rendu, autant d'éléments stables dans le temps.
Fingerprinting TLS TLS handshake fingerprint. Quand un navigateur ouvre une connexion TLS, le handshake de négociation expose les suites de chiffrement prises en charge, les extensions et leur ordre. Ce motif est caractéristique de la pile logicielle qui établit la connexion. Un client VPN, un service de proxy ou un navigateur headless produisent chacun une signature de handshake TLS distincte. Le fingerprinting TLS handshake fingerprint lit cela au niveau réseau pour déterminer si une connexion passe par un VPN ou un proxy.
Motifs de temporisation. Le temps que prennent certaines opérations du navigateur reflète les caractéristiques et la charge du processeur. Les environnements de navigateur headless, qui sous-tendent les outils d'attaque automatisés, produisent des signatures temporelles différentes de celles des sessions réelles pilotées par une interaction humaine.
Métriques d'écran, contexte audio et autres signaux d'environnement. La résolution, la densité de pixels, la prise en charge tactile, le matériel audio disponible, le fuseau horaire et les réglages de langue ajoutent chacun du signal. Aucun attribut isolé n'est concluant. C'est la combinaison de nombreux attributs stables qui produit un identifiant fiable.
Ces signaux sont combinés par un algorithme de hachage pour produire un ID d'appareil. Le même appareil produit le même ID que l'utilisateur soit en navigation privée, connecté via un VPN, ou qu'il ait effacé tous les cookies de son navigateur, car aucune de ces actions ne change la configuration matérielle ou logicielle sous-jacente que lit l'empreinte.
Ce qui rend une implémentation fiable
Toutes les implémentations de device intelligence ne se valent pas en précision. Trois critères pratiques méritent d'être évalués.
Étendue des signaux. Une implémentation qui lit 10 ou 20 signaux produit un ID moins stable qu'une implémentation qui en lit 100 ou plus. Plus il y a de signaux dans le hachage, mieux l'implémentation tolère les changements mineurs, comme une mise à jour du navigateur qui modifie un attribut de rendu, sans produire une fausse lecture de nouvel appareil.
Précision en navigation privée. Une implémentation faible se casse en navigation privée parce qu'elle s'appuie en partie sur des identifiants stockés, comme les valeurs de localStorage ou d'IndexedDB, que la navigation privée réinitialise. Une implémentation solide ne lit que des signaux d'environnement passifs et produit donc le même ID en navigation privée que dans une session standard.
Stabilité face aux VPN. Un ID d'appareil ne devrait pas changer quand un utilisateur active un VPN, car un VPN ne change que l'adresse IP. Aucun des signaux du navigateur décrits plus haut ne reflète l'IP. Si l'ID d'appareil d'une implémentation change quand l'utilisateur se connecte à un VPN, c'est qu'elle intègre des données IP ou de niveau réseau dans le hachage de l'empreinte, ce qui compromet son utilité précisément dans les scénarios où les VPN sont pertinents.
Où s'applique le device intelligence
Prévention des prises de contrôle de compte. La fraude par prise de contrôle de compte a atteint 13,5 milliards de dollars de pertes en 2025, touchant 6 millions de personnes aux États-Unis, selon Javelin Strategy & Research. L'attaque la plus courante commence par des identifiants volés lors d'une fuite antérieure. Le device intelligence repère quand un compte connu tente une connexion depuis un appareil qui n'a jamais été associé à ce compte, et déclenche un défi ou un blocage avant l'octroi de l'accès. Voyez comment cela se déroule dans la prévention des prises de contrôle de compte.
Fraude à la création de compte. Quand un même appareil crée des dizaines de comptes en succession rapide, l'attaquant réinitialise en général son adresse e-mail et son IP entre chaque tentative. L'appareil, lui, reste constant. Le device intelligence met ce schéma en évidence immédiatement, ce qui constitue le cœur de la prévention de la fraude à l'inscription.
Partage de compte. Pour les entreprises par abonnement, le device intelligence cartographie quels ID d'appareil s'authentifient sur un compte donné au fil du temps. Un compte qui se connecte depuis 12 ID d'appareil distincts en un mois est simple à signaler pour l'application des règles de partage de compte.
Preuves de rétrofacturation. Un ID d'appareil stable enregistré au moment du paiement devient une pièce du dossier de preuves lorsqu'une transaction est contestée. La présence de l'appareil dans la session est un fait documenté plutôt qu'une déduction reconstituée, ce qui renforce les preuves de rétrofacturation.
Comment cside détecte les appareils
cside lit plus de 100 signaux du navigateur par session pour générer un identifiant d'appareil qui reste stable en navigation privée, sur les connexions VPN et après l'effacement des cookies. Au-delà de l'ID d'appareil lui-même, chaque réponse d'API renvoie des signaux supplémentaires depuis la même balise de script : elle signale les sessions d'agents IA et automatisées, en identifiant des agents et frameworks nommés comme OpenAI Operator, Claude for Chrome, Playwright, Puppeteer et Selenium ; elle renvoie un signal VPN/proxy dérivé du fingerprinting TLS TLS handshake fingerprint ; et elle signale les sessions en navigation privée.
Tous les détails sur la façon dont cside met en œuvre le device intelligence, y compris les étapes d'intégration et des exemples de réponses d'API, se trouvent sur la page device fingerprinting.
Considérations relatives à la vie privée et au RGPD
Le device intelligence est parfois confondu avec le pistage intrusif, mais les deux sont réellement différents. Quelques points méritent d'être bien compris.
Le device intelligence ne nécessite pas de cookies et ne stocke aucune donnée sur l'appareil de l'utilisateur. Les signaux qu'il lit sont des caractéristiques passives de l'environnement, pas des données écrites dans le navigateur.
Le résultat est un identifiant pseudonyme, pas un identifiant directement nominatif. Un ID d'empreinte d'appareil ne révèle ni nom, ni adresse e-mail, ni emplacement physique. Il identifie une configuration d'appareil, qui ne peut être reliée à une personne que si des données de compte distinctes fournissent ce lien.
Le fingerprinting à des fins de prévention de la fraude repose généralement sur l'intérêt légitime comme base légale au titre du RGPD, car le traitement est nécessaire pour protéger les utilisateurs et l'entreprise contre l'activité frauduleuse. Les exigences légales varient selon la juridiction et le cas d'usage, et toute organisation qui met en œuvre le device intelligence devrait obtenir un avis juridique spécifique.
Les opérateurs doivent divulguer l'usage du fingerprinting d'appareil dans leur politique de confidentialité, en décrivant les catégories de données traitées et la finalité.
Pour aller plus loin
