Vous ouvrez un site, remarquez l'icône de cadenas dans votre navigateur et avez la certitude que le contenu de votre connexion est protégé. C'est vrai. Mais des chercheurs ont découvert qu'il suffit parfois d'observer la taille et le rythme des paquets réseau pour identifier avec précision une page spécifique.
Imaginez la situation.
Vous visitez un grand site d'actualité. Vous lisez un article, le fermez, puis en ouvrez un autre. Les deux pages utilisent le HTTPS. Personne de tiers ne peut voir leur texte, leurs photos ou l'adresse complète de la page.
Cependant, chaque ouverture génère sa propre empreinte réseau.
Un article contient vingt photos. Un autre présente un texte long et une seule illustration. Un troisième charge des vidéos, des commentaires et des contenus supplémentaires.
Le volume de données diffère. La vitesse de transfert varie. Même la séquence des requêtes s'avère différente.
Ce sont précisément ces divergences qui permettent d'essayer de déterminer quelle page un utilisateur a ouverte.
Le chiffrement protège le contenu, mais pas l'intégralité de la connexion
Lorsqu'un navigateur établit une connexion HTTPS sécurisée, le contenu des requêtes et des réponses est chiffré.
Un observateur extérieur ne peut pas simplement lire le texte d'un article ou voir un mot de passe envoyé.
Cependant, certaines caractéristiques de la connexion restent visibles :
- la quantité de données transférées ;
- la direction dans laquelle circulent les paquets ;
- la fréquence de leur arrivée ;
- le moment où surviennent des pics d'activité ;
- la durée du chargement.
Ces informations constituent ce que l'on appelle les métadonnées réseau.
Imaginez qu'un observateur ait préalablement analysé une centaine de pages d'un même site et enregistré l'empreinte réseau caractéristique de chacune d'elles.
Lorsqu'un utilisateur consultera l'une de ces pages, un système d'apprentissage automatique pourra comparer la nouvelle empreinte avec les modèles connus.
C'est ainsi que fonctionne le website fingerprinting, ou la reconnaissance de pages web par empreinte réseau.
Point important : l'intelligence artificielle ne déchiffre pas le HTTPS. Elle essaie de deviner le contenu à partir d'indices indirects.
Des chercheurs ont évalué la gravité de la situation
En septembre 2026, un groupe de spécialistes du CISPA Helmholtz Center for Information Security a présenté une étude sur le potentiel d'HTTP/2 pour se protéger contre ce type de reconnaissance.
Les chercheurs ont examiné les pages de cinq ressources majeures : Amazon, BBC, Reddit, Udemy et Wikipédia.
Pour chaque site, ils ont sélectionné une centaine de pages et étudié les particularités caractéristiques de leur trafic réseau.
Sans protection supplémentaire, les algorithmes d'apprentissage automatique affichaient souvent des taux de reconnaissance très élevés lors d'expériences contrôlées.
Une autre étude, publiée en avril 2026 dans la revue Scientific Reports, a affiché une précision de 97,4 % pour l'un des scénarios de classification du trafic non sécurisé.
Une précision toutefois à nuancer.
97,4 % ne correspond pas à la probabilité qu'un fournisseur d'accès découvre n'importe quelle page pour n'importe quel utilisateur.
Il s'agit du résultat d'une expérience en laboratoire, où le système choisissait parmi des options connues à l'avance.
Sur l'internet réel, il existe des milliards de pages, des contenus en constante évolution, des connexions en arrière-plan et de nombreux autres facteurs. Il est donc impossible d'appliquer la précision de laboratoire à une surveillance réelle.
Néanmoins, la possibilité même de cette reconnaissance a été confirmée expérimentalement.
Quel est le rapport avec HTTP/2 ?
HTTP/2 est l'un des protocoles utilisés par le navigateur et le serveur pour échanger des données.
Il permet de transmettre plusieurs flux de données au sein d'une même connexion, d'gérer l'ordre de priorité des transferts et de répartir la bande passante disponible.
Ces fonctionnalités servent généralement à accélérer le chargement des sites web.
Mais les chercheurs ont suggéré de les exploiter également pour préserver la vie privée.
Il est par exemple possible de modifier l'ordre de transmission de ressources spécifiques, de répartir les flux différemment ou de réguler le rythme d'envoi des données.
Par conséquent, une même page cesse de produire systématiquement la même empreinte réseau.
Il devient alors beaucoup plus difficile pour l'algorithme de reconnaissance d'associer le trafic observé à une page précise.
Il est particulièrement intéressant de noter que de tels mécanismes pourraient potentiellement être mis en œuvre au niveau de l'application web, sans nécessiter la création d'un nouveau protocole VPN.
Quelle est l'efficacité réelle de cette protection ?
Les chercheurs ont testé plusieurs méthodes de modification du trafic et les ont comparées aux approches existantes.
Dans certaines expériences, après l'application de cette protection, l'observateur ne pouvait plus identifier avec certitude une seule page : des dizaines d'options plausibles subsistaient.
Parallèlement, certaines approches basées sur HTTP/2 permettaient de réduire considérablement les délais supplémentaires et la surconsommation de données par rapport à d'autres méthodes de protection.
Cet aspect est crucial, car la confidentialité a un prix.
Si, pour masquer son activité, on envoie continuellement des données superflues ou que l'on retarde artificiellement les paquets, les sites web perdront en réactivité et les utilisateurs consommeront davantage de données.
L'objectif des chercheurs est de trouver un équilibre entre sécurité et vitesse de connexion normale.
Pour l'instant, il s'agit de méthodes expérimentales, et non d'une fonctionnalité activable d'un simple clic dans un navigateur.
Les VPN peuvent-ils donc aussi être identifiés ?
Il convient ici de distinguer deux problématiques différentes.
La première consiste à déterminer si un utilisateur a recours à un VPN.
La seconde vise à découvrir quels sites ou pages il visite à l'intérieur de sa connexion chiffrée.
Ces deux aspects ne sont pas synonymes.
Lorsqu'un utilisateur se connecte à un VPN, son fournisseur d'accès local observe généralement une connexion vers le serveur VPN, mais ne voit pas directement l'ensemble des sites finaux auxquels l'utilisateur accède à travers le tunnel.
Néanmoins, le volume global, la chronologie et le rythme des transferts de données peuvent rester observables.
Dans certaines conditions, ces indices permettent également de formuler des hypothèses sur les actions de l'utilisateur.
Cependant, l'étude sur HTTP/2 s'intéressait avant tout aux connexions HTTPS classiques, sans tunnel VPN additionnel. Elle ne démontre pas que la protection proposée est capable de masquer un VPN face à une analyse par inspection en profondeur des paquets (DPI).
D'autres indicateurs sont utilisés pour identifier les tunnels eux-mêmes : particularités du protocole, adresses réseau, séquences de paquets et caractéristiques des connexions.
Par conséquent, dissimuler efficacement un seul indicateur ne garantit pas l'invisibilité de l'intégralité du trafic.
Qu'est-ce que cela implique pour l'utilisateur lambda ?
Tout d'abord, il ne faut en aucun cas renoncer au HTTPS. Le chiffrement demeure le socle indispensable de la sécurité en ligne.
Il est toutefois primordial d'en comprendre les limites.
Le HTTPS protège le contenu de la connexion. Un VPN, lorsqu'il est correctement configuré, masque en outre les destinations finales vis-à-vis du fournisseur d'accès local. Quant à la protection contre l'analyse des empreintes réseau, elle répond à un autre impératif : réduire la quantité d'informations extractibles à partir du comportement du trafic.
Ces technologies se complètent, mais ne se substituent pas les unes aux autres.
Pour l'utilisateur, les recommandations pratiques restent claires : utiliser des navigateurs modernes, mettre à jour ses applications en temps voulu, opter pour des services VPN fiables et s'assurer de l'absence de fuites DNS.
Pour les propriétaires de sites et de serveurs, un nouveau chantier s'ouvre : analyser les informations divulguées par la taille et la séquence des ressources transmises, tout en suivant l'évolution des technologies de protection HTTP/2 et HTTP/3.
Il est toutefois déconseillé de déployer immédiatement des modifications expérimentales du comportement réseau sur des serveurs de production. Il convient d'abord d'en évaluer la compatibilité, la charge et les avantages réels.
L'internet entre dans une nouvelle phase de confrontation
Auparavant, la question principale était la suivante : un tiers peut-il lire les données transmises ?
Aujourd'hui, une autre interrogation s'impose de plus en plus : que peut-on apprendre sur une personne sans même lire ses données ?
L'apprentissage automatique rend l'analyse du comportement réseau de plus en plus performante. Parallèlement, les chercheurs découvrent de nouvelles méthodes pour limiter les fuites d'informations.
C'est pourquoi la protection de la vie privée ne s'arrête pas à l'installation d'un HTTPS ou d'un VPN.
Le chiffrement protège nos mots. La prochaine étape consiste à apprendre à protéger également les empreintes numériques qu'ils laissent derrière eux.
Steklyanny Most | 5 novembre 2026
Sources :
- Cebere B. et al. Understanding the Privacy-Preserving Potential of HTTP/2 Against Webpage Fingerprinting. Septembre 2026, ACM CCS 2026. https://arxiv.org/abs/2609.05119
- Alazzam H., Abualganam O., Almobaideen W. Advanced website fingerprinting for detecting VPN-based censorship evasion: a transformer-based approach. Scientific Reports, avril 2026. https://doi.org/10.1038/s41598-026-41976-4