Comment fonctionne cette vérification
Quand votre navigateur a demandé cette page, il a envoyé un bloc d’en-têtes avant toute autre chose. Notre serveur les a tous capturés, mis les noms en minuscules, triés par ordre alphabétique et affichés ci-dessus, avec la méthode et la version du protocole HTTP. Rien n’est filtré ni ajouté.
Les en-têtes au sens connu portent une note. Ceux qui signalent un proxy ou un outil sont marqués et listés à part dans le résumé, car ce sont eux qui comptent pour qui vérifie un proxy. Les mêmes données existent en JSON, pour qu’un script voie ce qu’il envoie sous une forme facile à comparer.
Les en-têtes ne peuvent pas être cachés au serveur : la liste est donc aussi la partie passive de votre empreinte, collectée à chaque visite sans script. Le test d’empreinte du navigateur hache cet ensemble et l’affiche à côté des signaux collectés par script.
Comment lire votre résultat
Regroupez les lignes par fonction.
| Groupe | En-têtes | Ce qu’ils révèlent |
|---|---|---|
| Identité | user-agent, sec-ch-ua, sec-ch-ua-mobile, sec-ch-ua-platform, sec-ch-ua-full-version-list et autres sec-ch-* | Famille, version et plateforme du navigateur ; la page user agent les analyse |
| Préférences | accept, accept-language, accept-encoding | Types de contenu, langues par ordre de préférence, compressions ; la langue est comparée au pays de l’IP dans le score d’anonymat |
| Contexte | host, referer, origin, sec-fetch-site, sec-fetch-mode, sec-fetch-dest, sec-fetch-user, upgrade-insecure-requests, priority | Le site demandé, la page qui vous a amené ici et la classification de la requête par le navigateur |
| Connexion | connection, te, cache-control, pragma | Keep-alive et cache ; surtout l’ère HTTP/1.1 |
| Signaux de confidentialité | dnt, sec-gpc | Do Not Track et Global Privacy Control, si activés ; rares, donc distinctifs |
| Session | cookie | Cookies de ce site uniquement |
| Proxy | via, x-forwarded-for, forwarded, x-real-ip, client-ip, x-proxy-id, proxy-connection, x-forwarded | Ajoutés par le logiciel du proxy ; certains portent votre IP d’origine |
| Bordure | cf-connecting-ip et similaires | Ajoutés par un CDN ou réseau de bordure devant un site ; montrent l’adresse vue par la bordure |
Les lignes proxy sont celles à traiter. Un navigateur ne les envoie jamais : si l’une apparaît, quelque chose entre vous et notre serveur l’a insérée. X-Forwarded-For, Forwarded, X-Real-IP et Client-IP contiennent couramment l’adresse du client relayé, c’est-à-dire la vôtre ; comparez-la avec l’IP du détecteur de proxy : si elles diffèrent, votre vraie adresse est livrée à chaque site visité. Via et X-Proxy-ID ne portent pas votre adresse mais annoncent un proxy. Le score d’anonymat retire 10 points dès qu’un de ces en-têtes est présent.
Referer et origin disent d’où vous venez : rien pour une adresse tapée, l’adresse du site d’origine en suivant un lien, tronquée selon sa politique. Sec-Fetch-Site indique si la requête est same-origin, same-site, cross-site ou initiée par l’utilisateur.
Accept-Language liste vos langues par ordre de préférence, avec variantes régionales. Une première langue inhabituelle pour le pays de l’IP est un écart léger ; l’anglais en premier est accepté partout. C’est aussi une entrée d’empreinte, la liste exacte variant d’une personne à l’autre.
Les client hints n’apparaissent que dans les navigateurs Chromium. Ceux à faible entropie (marques, indicateur mobile, plateforme) partent à chaque requête ; ceux à plus forte entropie (versions complètes, architecture, bitness, modèle) seulement si un site les a demandés. Vous voyez ici l’ensemble par défaut.
Do Not Track et Global Privacy Control sont honorés par peu de sites et, peu de gens les activant, rendent un navigateur légèrement plus distinctif. Un fait à connaître, pas un argument contre eux.
Comment corriger
En-têtes de proxy présents
- Identifiez la source : un proxy défini dans le navigateur ou le système, ou sinon un proxy transparent ou cache de votre FAI ou réseau, courant chez les opérateurs mobiles et en entreprise.
- Pour un proxy que vous contrôlez, passez en mode sans en-têtes, dit élite ou haute anonymité. Pour un proxy commercial, demandez un port élite ou un autre pool ; le comportement dépend du proxy, pas du navigateur.
- Pour un proxy transparent de FAI, un VPN est la solution : le tunnel passe devant le proxy, qui ne voit que du trafic chiffré.
- Rechargez cette page : le résumé proxy doit indiquer aucun, et la ligne proxy du score d’anonymat doit passer.
En-têtes qui contredisent le reste
- Un user agent qui nomme une plateforme alors que sec-ch-ua-platform en nomme une autre signifie qu’une extension ou un profil réécrit l’un des deux. Retirez la surcharge ou utilisez un profil qui règle les deux ensemble.
- Un Accept-Language qui ne correspond pas au pays de l’IP se corrige dans les langues du navigateur : Chrome et Edge, Paramètres puis Langues ; Firefox, Paramètres, Général, Langue ; Safari suit la liste du système.
Exposition du referer
- Réglez la politique de referrer sur strict-origin-when-cross-origin, défaut des navigateurs actuels, ou sur no-referrer via une extension ou les réglages network.http.referer de Firefox dans about:config. Les propriétaires de sites peuvent poser un en-tête Referrer-Policy.
Développeurs et scripts
- Demandez la version JSON de cette page depuis votre outil. Un script qui prétend un user agent de navigateur sans Accept-Language, Sec-Fetch ni client hints se distingue facilement.
- Ajoutez les en-têtes explicitement, par exemple avec -H dans curl, et comparez la sortie JSON avant et après.
Limites de cette vérification
- Nous ne voyons que ce qui atteint notre serveur. Un CDN devant un site peut retirer, réécrire ou ajouter des en-têtes ; vous voyez ici la vue d’un serveur d’origine sans cette couche.
- Requête uniquement. Les en-têtes de réponse ne sont pas affichés ; les outils de développement du navigateur montrent les deux.
- Les cookies sont limités au site. Seuls ceux posés par ce site apparaissent, et aucun lors d’une première visite.
- L’ordre des en-têtes est perdu. Nous trions par ordre alphabétique ; certains systèmes d’empreinte utilisent l’ordre d’origine, qui varie selon les navigateurs.
- HTTPS cache les en-têtes au réseau, pas au serveur. Personne sur le chemin ne peut les lire ; le site visité, si.
- La détection de proxy repose sur les en-têtes. Un proxy qui n’en ajoute aucun est invisible ici ; le type de réseau de son adresse relève du détecteur de proxy et du vérificateur d’IP.
À quoi ressemble une fuite d’en-tête par proxy transparent
Un proxy transparent relaie vos requêtes sous sa propre adresse, puis écrit votre adresse d’origine dans X-Forwarded-For ou Forwarded pour que la destination puisse journaliser qui a demandé. Celle-ci voit deux adresses : le proxy comme source de connexion, et vous dans l’en-tête. Pour un cache de FAI, c’est inoffensif ; pour un proxy acheté afin de changer votre localisation apparente, cela annule tout, car un site attentif lit cet en-tête en premier. L’entrée en-têtes de proxy du glossaire liste chaque en-tête, qui l’ajoute et ce qu’il porte.
Pourquoi la liste diffère entre navigateurs
Chaque moteur a ses défauts : types Accept listés, envoi ou non des client hints, en-têtes Sec-Fetch inclus, format d’Accept-Language, en-tête priority en HTTP/2 ou HTTP/3. Les versions les font évoluer. Les différences suffisent pour qu’un serveur nomme généralement la famille de navigateur d’après le seul jeu d’en-têtes, même sans user agent. C’est pourquoi réécrire le user agent ne suffit pas à passer pour un autre navigateur, et pourquoi l’empreinte passive est hachée séparément de celle collectée par script.
Lire les en-têtes depuis un script ou la ligne de commande
Pour un scraper, un outil de supervision ou une intégration, la sortie JSON de cette page est le moyen le plus rapide de voir ce que vous envoyez : pointez l’outil ici avec un en-tête Accept de application/json et comparez avec un navigateur, une dizaine d’en-têtes dans un motif reconnaissable contre deux ou trois pour un client nu. Les sites qui exigent de ressembler à un navigateur vérifient exactement cela. Un outil honnête fait mieux de s’identifier clairement et de respecter les limites de débit que d’imiter un navigateur à moitié.