AliExpress fait tourner un son inaudible qui décrit votre appareil, voici comment le couper

Vous ouvrez AliExpress et votre casque Bluetooth lâche votre téléphone. La page d’accueil du marchand chinois crée en silence deux contextes audio réglés sur un volume nul, selon un billet d’investigation publié le 20 août 2026 par le développeur m-c-tech. Aucun son n’en sort, mais le navigateur traite quand même le flux et en tire une mesure qui décrit votre matériel.

Deux scripts sont nommés dans ce relevé technique : collina.js et fireyejs.js, servis depuis assets.aliexpress-media.com et rattachés à l’outillage anti-abus d’Alibaba. Les mêmes bundles mesurent aussi le rendu canvas, la carte graphique via WebGL, la taille de l’écran, le nombre de cœurs, le comportement WebRTC et les mouvements de l’appareil.

Pourquoi un son que personne n’entend vous identifie

Concrètement, la page demande au navigateur de synthétiser un signal, de le faire passer par plusieurs étages de traitement, puis de couper le volume juste avant la sortie. Le calcul, lui, a bien lieu.

Deux machines qui exécutent la même consigne ne rendent pas exactement les mêmes nombres. Le processeur, le pilote audio et la version du navigateur arrondissent différemment, et cet écart minuscule fait office de signature sans qu’aucun cookie ne soit déposé. La CNIL classe le procédé sous le terme de prise d’empreinte, défini comme « une technique probabiliste visant à identifier un utilisateur de façon unique sur un site web ou une application mobile en utilisant les caractéristiques techniques de son navigateur ».

Reste à savoir ce que cette empreinte vaut encore. Tom Ritter, développeur sécurité chez Mozilla, a examiné le même code le 20 août 2026 et juge la technique presque inutile aujourd’hui : Firefox uniformise sa sortie audio depuis la version 118, et 99,24 % de ses utilisateurs renvoient désormais l’une des trois mêmes valeurs. Nous avons converti cette part en son inverse : il reste environ un utilisateur de Firefox sur 132 que ce seul canal distingue. Les valeurs restantes séparent surtout des familles de processeurs, x86 sans multiplication-addition fusionnée, x64 avec FMA3, ARM NEON.

Quatre chiffres suffisent à situer l’affaire : deux graphes audio d’un côté, une réglementation française qui a durci le ton de l’autre.

Ce que la CNIL dit du pistage sans cookie

En France, l’empreinte de navigateur relève des mêmes règles que les cookies. Le consentement est requis dès que la mesure n’est pas nécessaire au service demandé, rappelle l’autorité sur sa page consacrée aux nouvelles méthodes de traçage.

La question n’a rien de théorique. Dans son bilan des sanctions 2025, la CNIL compte 83 sanctions pour 486 839 500 euros d’amendes et 143 mises en demeure ; 21 de ces sanctions portaient sur les traceurs, soit une sur quatre. Selon nos calculs, les deux amendes traceurs de septembre 2025, 325 millions d’euros pour Google et 150 millions pour SHEIN, pèsent à elles seules 97,6 % du montant total des amendes prononcées par la CNIL en 2025.

Le lecteur français est concerné à double titre : AliExpress figure parmi les plateformes visées par la taxe sur les petits colis appliquée depuis le 1er juillet 2026, et rien n’indique que le comportement décrit s’arrête aux frontières. L’auteur du billet pose lui-même la limite de son travail : il observe ce que la page fabrique, pas ce que le serveur en fait, et il ne peut donc dire si l’empreinte sert d’identifiant durable ou de simple score anti-fraude.

Deux règles pour couper le son

Le geste tient en deux lignes de filtre. L’auteur publie deux règles à coller dans uBlock Origin, qui neutralisent les deux scripts sur le domaine du marchand :

||assets.aliexpress-media.com/g/AWSC/uab/*/collina.js$script,domain=aliexpress.com
||assets.aliexpress-media.com/g/AWSC/fireyejs/*/fireyejs.js$script,domain=aliexpress.com

Deux détails comptent. Couper le son de l’onglet ne sert à rien, puisque le graphe continue de tourner en arrière-plan ; fermer l’onglet ou bloquer les scripts rétablit en revanche le basculement automatique d’un casque Bluetooth multipoint. Si vous ne voulez rien installer, changer de navigateur réduit déjà la portée du procédé, Firefox rendant la même valeur pour la quasi-totalité de ses utilisateurs.

Le réflexe dépasse ce site. Un onglet marchand laissé ouvert en fond n’est pas neutre pour votre matériel, et les fonctions qui tournent sans vous s’éteignent réglage par réglage, comme pour l’IA activée par défaut dans vos mails et votre téléphone.

Article créé en collaboration avec l’IA.