Petit rappel. Quand on suit un lien sur une page web, le site web sur lequel vous atterrissez est informé de l'URL de la page web dont vous venez (on nomme ça referer/référent. Le mode navigation privée d'un navigateur n'empêche pas ça : aucune trace n'est laissée sur l'ordinateur (historique, cookies,...) mais les traces externes, envoyées aux serveurs web demeurent.

On ne peut pas désactiver le référent puisque de nombreux sites s'en servent notamment durant les phases d'authentification (ce qui est une erreur puisque l'utilisateur contrôle le référent...). On peut utiliser une extension comme Smart Referer qui indique comme référent le site web de destination lui-même... sauf sur les sites web problématiques qui sont en liste blanche (que l'on peut compléter) et qui recevront donc le référent réel.


« Dans cette affaire, le propriétaire de l'ordinateur a à cœur (sans jeu de mot) de protéger un peu sa vie privée. Il utilise certes beaucoup d'outils des GAFAM (Google, Apple, Facebook, Amazon, Microsoft), mais avec le soucis de progressivement se détacher de leurs emprises. C'est pourquoi, il a choisi d'utiliser un nom de plume pour s'épancher sur internet, un VPN pour protéger sa vie privée et l'autohébergement pour un certain nombre de ses outils préférés.

[...]

Vous connaissez peut-être les agrégateurs de flux RSS. Derrière cette expression se cache un outil très simple répondant au besoin suivant : comment être averti de la publication d'un nouveau billet de ses blogs ou sites web favoris sans être obligé d'aller vérifier tous les quart d'heure, site par site. [...]

C'est pourquoi, il a choisi d'utiliser un nom de plume pour s'épancher sur internet, un VPN pour protéger sa vie privée et l'autohébergement pour un certain nombre de ses outils préférés.Il installe donc l'un des meilleurs agrégateurs opensource : Tiny Tiny RSS, connu aussi sous son petit nom TTRSS... [...]

Les choses se compliquent un peu puisque notre utilisateur souhaite évidement pouvoir accéder à son agrégateur depuis l'extérieur et depuis son téléphone intelligent. Qu'à cela ne tienne, il met en place une redirection de port sur sa box d'accès à internet, en l’occurrence ici, une FreeBox. Il installe une application (gratuite) sur son téléphone : "TTRSS 2".

Notre homme ne se doute pas qu'il vient de commettre une (petite) erreur qui va le ridiculiser aux yeux (malveillants) du monde. En effet, non content de lire son journal personnel partout sur la planète, via son serveur TTRSS autohébergé, notre utilisateur est allé plus loin : comme il ne souhaitait pas apprendre par cœur son adresse IP personnelle, il a logiquement utilisé les services d'un nom de domaine qu'il possède pour sa société de consultant (notre homme est autoentrepreneur).

Sur le coup, il s'est méfié un peu : utilisateur assidu d'un pseudonyme sur internet, caché derrière la protection relative d'un VPN, n'y avait-il pas là un risque de dévoiler son identité réelle associée à sa petite entreprise quand il se connecte à son serveur TTRSS avec son navigateur ?

Que nenni pensait-il, puisque seul son navigateur (en session privée) et son téléphone utilisaient le nom de domaine de son entreprise. Il pouvait donc lire en toute tranquillité son agrégateur de flux RSS d'un côté et surfer sous pseudonyme de l'autre.

Erreur, erreur, erreur...

Il y a un petit mécanisme dont notre homme a oublié l'existence et qui est utilisé par de nombreux sites internets. Ce mécanisme s'appelle le référent. [...] lorsque vous cliquez sur un lien qui se trouve dans une page web, le site web sur lequel vous atterrissez est informé de l'URL de la page web dont vous venez.

Exemple : si vous cliquez sur ce lien : https://www.whatismyreferer.com et bien le site en question sait que vous venez du blog de Zythom (faites le test, le site vers lequel je vous envoie affiche en clair l'indication). Si vous utilisez Firefox, il vous suffit de faire "clic droit" à tout moment sur n'importe quelle page web et de choisir "Informations sur la page". Vous aurez accès à l'information "URL de provenance"...

Notre homme, donc, utilise un pseudonyme et un VPN pour commenter à droite et à gauche sur internet, mais a choisi d'autohéberger son agrégateur de flux RSS en utilisant le nom de domaine de son autoentreprise. Par conséquent, à chaque fois qu'il clique sur un lien présent dans son agrégateur, le site sur lequel il arrive sait d'où il vient, avec le nom en clair de son autoentreprise et son IP personnelle.

Fail. »