Pourquoi la mise à jour de Cloudflare Turnstile irrite les défenseurs de la vie privée sur le web

Le service qui se vantait d’être respectueux de la vie privée et qui fait maintenant le contraire

Il y a des retournements de situation qui méritent un paragraphe d’introduction en capitales d’exaspération. Celui-ci en fait partie.

Cloudflare Turnstile est né en 2022 avec une promesse claire : être l’alternative éthique et respectueuse de la vie privée aux CAPTCHA traditionnels. Pas de surveillance Google. Pas de collecte de données. Pas de cookie. Des juristes spécialisés en protection des données en Europe recommandaient d’ailleurs Turnstile comme la solution qu’on pouvait déployer sans avoir besoin d’ajouter un bandeau de consentement.

« Turnstile ne regarde jamais les cookies. Turnstile ne collecte jamais de données pour le reciblage publicitaire. » C’est Cloudflare elle-même qui écrivait ça dans son article de lancement.

Et maintenant ? En mai-juin 2026, des chercheurs en sécurité et des défenseurs de la vie privée ont découvert que Turnstile exige l’activation de WebGL pour valider que vous êtes humain et utilise cette technologie pour générer une empreinte numérique de navigateur (browser fingerprinting) extrêmement précise.

Cette empreinte peut identifier de façon unique plus de 96 % des appareils. Elle survit aux cookies effacés, aux sessions privées et aux VPN. Elle persiste même si vous changez d’adresse IP.

Pour les défenseurs de la vie privée, c’est une trahison. Pour les navigateurs axés sur la confidentialité, c’est carrément une exclusion.

Les bases : qu’est-ce qu’un CAPTCHA et pourquoi Turnstile était censé être mieux ?

Le problème que les CAPTCHA cherchent à résoudre

Imaginons que vous gérez un site web populaire. Chaque jour, des milliers de robots automatisés tentent de :

• Créer des comptes en masse pour du spam.
• Tester des milliers de combinaisons de mots de passe.
• Récupérer automatiquement le contenu de vos pages (scraping).
• Envoyer des formulaires de contact indésirables à la chaîne.

Pour distinguer un vrai utilisateur humain d’un robot, les développeurs web utilisent des CAPTCHA, ces petits défis visuels qui vous demandent de cliquer sur tous les vélos, identifier les feux de signalisation, ou déchiffrer du texte tordu. Leur logique : un robot automatisé ne peut pas réaliser ces tâches comme le ferait un humain.

Sauf que les robots modernes, dopés à l’IA, résolvent ces défis visuels de mieux en mieux. Et pendant ce temps, les vrais utilisateurs s’arrachent les cheveux sur des grilles de photos floues.

reCAPTCHA : le géant problématique

La solution dominante du marché, reCAPTCHA de Google, est utilisée sur des millions de sites web. Elle fonctionne bien. Très bien même. Mais elle a un problème fondamental : elle collecte des quantités importantes de données sur les utilisateurs : comportement de navigation, cookies, historique d’interactions avec d’autres sites Google, pour générer son score de confiance. C’est de la surveillance au service de l’anti-bot.

En Europe, plusieurs autorités de protection des données ont posé des questions sérieuses sur la conformité de reCAPTCHA au RGPD, précisément parce que les données collectées sont traitées par Google selon des finalités larges qui vont bien au-delà de la simple vérification anti-bot.

La promesse de Turnstile

C’est dans ce contexte que Cloudflare Turnstile a été lancé en 2022 comme une alternative radicalement différente. Sa promesse :

• Vérification non-intrusive : s’exécute en arrière-plan sans que l’utilisateur n’ait à cliquer quoi que ce soit (dans la plupart des cas)
• Pas de collecte de données pour le ciblage publicitaire
• Pas de cookies tiers
• Conformité RGPD facilitée
• Une meilleure expérience utilisateur

La communauté des développeurs soucieux de la vie privée a accueilli Turnstile avec enthousiasme. Les avocats spécialisés en droit numérique le recommandaient à leurs clients comme solution ne nécessitant pas de bandeau de consentement en Europe.

Pendant trois ans, cette réputation a tenu. Puis est venu mai 2026.

WebGL : comprendre la technologie au cœur du débat

Pour comprendre le problème, il faut d’abord comprendre ce qu’est WebGL et comment on peut en détourner l’usage.

WebGL : à la base, une technologie pour les graphismes 3D

WebGL (Web Graphics Library) est une interface de programmation JavaScript qui permet aux navigateurs web d’accéder directement au processeur graphique (GPU) de votre ordinateur. Son objectif légitime : permettre le rendu de graphismes 3D dans le navigateur, sans plugin supplémentaire. Les jeux en 3D dans le navigateur, les visualisations de données interactives, les cartographies en relief, tout ça utilise WebGL.

Pour faire ce travail, WebGL doit communiquer avec votre GPU. Et cette communication expose naturellement des informations sur votre configuration matérielle :

• Le fabricant de votre GPU (NVIDIA, AMD, Intel, Apple…).
• Le modèle exact de votre carte graphique.
• La version du pilote graphique installé.
• Les extensions WebGL supportées.
• Et surtout : les résultats exacts de rendu générés par votre GPU pour des opérations graphiques précises.

Comment WebGL devient un outil de traçage

Voici le point crucial que peu de gens réalisent : chaque combinaison de GPU + pilote graphique + système d’exploitation produit des résultats légèrement différents lorsqu’on lui demande de réaliser les mêmes opérations graphiques. Ces micro-différences, invisibles à l’œil nu dans un rendu normal, sont comme des empreintes digitales de votre configuration matérielle.

C’est ce qu’on appelle le WebGL fingerprinting (empreinte digitale via WebGL).

En pratique, un script de fingerprinting WebGL va :

1. Demander au navigateur de rendre une scène 3D précise (souvent un simple triangle ou cube avec des paramètres spécifiques).
2. Lire les pixels exacts du résultat.
3. Calculer un hash (une valeur numérique unique) à partir de ces pixels.
4. Combiner ce hash avec d’autres informations : modèle du GPU, chaîne de rendu, extensions supportées.

L’extension WebGL impliquée s’appelle WEBGL_debug_renderer_info. Elle expose des chaînes de caractères comme « ANGLE (NVIDIA GeForce RTX 4090 Direct3D11 vs_5_0 ps_5_0) », soit l’identité exacte de votre carte graphique.

Cette empreinte possède des propriétés très problématiques pour la vie privée :

• Elle persiste même si vous effacez vos cookies (ce ne sont pas des cookies).
• Elle survit aux sessions de navigation privée.
• Elle ne change pas si vous utilisez un VPN (une adresse IP différente).
• Elle identifie de façon unique plus de 96 % des appareils, selon les études sur la désanonymisation.

Ce que Turnstile fait maintenant et ce qui a été découvert

Le déclencheur : un utilisateur bloqué en boucle infinie

Tout a commencé le 30 mai 2026 avec un rapport publié par un développeur connu sous le pseudonyme lanodan. Il utilisait un navigateur basé sur WebKitGTK, une version de WebKit (le moteur de rendu d’Apple) adaptée pour les systèmes Linux et a constaté que Turnstile tournait en boucle indéfinie depuis environ une semaine, bloquant son accès à plusieurs sites protégés par Cloudflare.

Son rapport a identifié la cause : WebKitGTK bloque aggressivement le fingerprinting WebGL par conception, dans le cadre de ses protections de vie privée. Et Turnstile, apparemment, exige maintenant des informations WebGL suffisamment détaillées pour passer son challenge sinon il considère le navigateur comme « suspect ».

Le fonctionnement de Turnstile version 2026

Voici ce que les chercheurs en sécurité ont découvert dans le comportement de Turnstile :

Quand vous arrivez sur un site protégé par Turnstile, le script de Cloudflare s’exécute discrètement dans votre navigateur avant même que vous n’interagissiez avec quoi que ce soit. Il collecte un ensemble de signaux pour calculer un score de confiance :

• Signaux réseau : adresse IP, AS number, réputation réseau.
• Signaux navigateur : user-agent, version du navigateur, support JavaScript.
• Signaux comportementaux : mouvements de souris, timing des interactions (pour le mode managé).
• Signaux d’empreinte matérielle : ici entre en jeu WebGL.

Le message que reçoit un utilisateur comme lanodan « Les informations du moteur de rendu WebGL ont été falsifiées. » révèle quelque chose d’important : Turnstile ne se contente pas de demander des informations WebGL. Il vérifie que ces informations sont suffisamment précises et cohérentes avec ce qu’il attendrait d’un vrai navigateur. Si votre navigateur protège votre vie privée en anonymisant ou généralisant les informations WebGL, Turnstile peut l’interpréter comme un comportement suspect de bot.

En clair : votre navigateur est puni pour avoir cherché à protéger votre vie privée.

Jusqu’où descend Turnstile ?

Une analyse publiée sur joeltd.com révèle que Turnstile examine un spectre bien plus large de signaux que le seul WebGL :

• Identité du GPU et pilotes graphiques.
• Comportement des polices de caractères et mesures typographiques.
• Timing des opérations (un outil de fingerprinting temporel).
• Persistance de session.
• Et peut-être, mais sans confirmation, des signaux de niveau encore plus bas.

Les victimes concrètes : qui est touché et comment ?

Les navigateurs axés sur la vie privée

La liste des navigateurs et environnements qui rencontrent des problèmes avec Turnstile en mode WebGL est révélatrice :

• WebKitGTK : le moteur WebKit pour Linux, qui bloque le fingerprinting WebGL par défaut.
• Safari avec les protections de confidentialité avancées activées (WebKit bloque WEBGL_debug_renderer_info depuis des années).
• Cromite : un fork de Chromium pour Android axé sur la vie privée, ses mainteneurs ont constamment des problèmes avec Cloudflare.
• Mullvad Browser : le navigateur développé par le service VPN Mullvad en partenariat avec le projet Tor, conçu pour minimiser les informations de fingerprinting.
• Tor Browser : les protections de Tor contre le fingerprinting déclenchent les alertes Turnstile.
• Brave en mode protection strict.
• Firefox avec les paramètres de résistance au fingerprinting activés.

La communauté a résumé la situation avec une formule cinglante : « le tracking est si invasif que même Apple le bloquerait », ce qui en dit long sur où se situe Turnstile sur le spectre de la surveillance.

Le cas Cromite et l’exigence de NDA

Le cas de Cromite est particulièrement illustratif de la puissance asymétrique dans ce débat. Ce fork de Chromium pour Android, développé par des bénévoles pour les utilisateurs soucieux de leur vie privée, fait face à des problèmes constants avec Turnstile.

Pourquoi ? Parce que Cloudflare résoudrait certains de ces problèmes si les mainteneurs de Cromite rejoignaient le Cloudflare Browser Developer Program, un programme qui permet aux navigateurs de « coopérer » avec Cloudflare pour passer ses challenges.

Le problème : rejoindre ce programme exige la signature d’un NDA (accord de non-divulgation). Autrement dit, les développeurs bénévoles de Cromite devraient signer un accord de confidentialité avec Cloudflare, une condition que le mainteneur du projet a refusée à juste titre, selon la communauté open source.

Ce détail illustre quelque chose de fondamental : la conformité avec Turnstile nécessite soit de se soumettre à ses conditions, soit d’accepter d’être traité comme un bot.

La contradiction centrale : le service anti-tracking qui track

Ce que Cloudflare avait promis

Voici les promesses originelles de Cloudflare lors du lancement de Turnstile en 2022 :

« Turnstile ne regarde jamais les cookies. » « Turnstile ne collecte jamais de données pour le reciblage publicitaire. » « Turnstile est une solution respectueuse de la vie privée. »

Ces promesses avaient une cible implicite clairement identifiable : Google reCAPTCHA, dont les pratiques de collecte de données pour améliorer les produits Google avaient été critiquées.

Ce que Turnstile fait en pratique

Le WebGL fingerprinting tel qu’implémenté par Turnstile est précisément le type de tracking que les régulateurs européens ont cherché à encadrer avec le RGPD.

Une empreinte de navigateur générée via WebGL :

• Est une donnée persistante qui identifie un individu sans son consentement.
• Est collectée à son insu et avant toute interaction.
• Permet un tracking inter-sessions que même les cookies tiers ne pouvaient pas toujours garantir.
• Survit aux outils de protection de la vie privée (nettoyage de cookies, navigation privée, VPN).

Et Turnstile s’exécute sur des millions de sites web. Si vous naviguez sur le web quotidiennement, vous passez probablement plusieurs fois par semaine devant des sites protégés par Turnstile et chaque passage génère des signaux de fingerprinting qui pourraient, en théorie, être agrégés pour construire un profil de navigation.

Des juristes spécialisés en RGPD qui recommandaient Turnstile comme alternative « sans consentement requis » doivent maintenant reconsidérer cette position.

La réponse de Cloudflare : entre déni partiel et justification technique

La communication officielle

Cloudflare n’a pas fondamentalement remis en cause son approche. La réponse officielle de la firme, telle que relayée dans les discussions techniques, repose sur plusieurs points :

« Nous voulons vérifier que c’est un vrai navigateur. » L’argument est valide sur le principe : distinguer un bot d’un vrai utilisateur nécessite des signaux que les bots ont du mal à falsifier. Le fingerprinting matériel est plus difficile à reproduire qu’un simple user-agent.

« Nous ne construisons pas de base de données de profils persistants. » Cloudflare affirme que les données de fingerprinting sont utilisées pour le scoring de la requête en cours, pas pour construire des profils à long terme. Cette affirmation est difficile à vérifier indépendamment.

« Les navigateurs qui bloquent le fingerprinting ressemblent à des bots. » C’est le point le plus problématique. Cette logique crée un dilemme : si vous protégez votre vie privée, vous avez l’air d’un bot. Si vous vous comportez comme un bot, vous êtes bloqué. Donc pour passer : sacrifiez votre vie privée.

Pourquoi c’est un problème plus large que Cloudflare

La centralisation d’internet autour de quelques acteurs

Cloudflare est omniprésent. La société estime protéger une part significative du trafic internet mondial. Elle est présente sur des millions de sites web. Quand Cloudflare change ses pratiques, c’est l’ensemble de l’expérience web qui est affecté pour des millions d’utilisateurs.

Cette centralisation signifie que les décisions de Cloudflare ont une portée quasi-réglementaire sur qui peut accéder à quoi sur le web sans être soumise aux processus démocratiques des vraies réglementations.

La définition du « navigateur normal »

Il y a quelque chose de philosophiquement troublant dans la logique de Turnstile : elle définit un « vrai utilisateur humain » comme quelqu’un qui utilise un navigateur qui n’essaie pas de protéger sa vie privée.

Les navigateurs comme Mullvad Browser ou Cromite existent précisément parce que des utilisateurs humains, des êtres humains avec des droits, des préférences, et des raisons légitimes de préserver leur anonymat en ligne, veulent naviguer sans être tracés. Ces utilisateurs ne sont pas des bots. Ils sont des personnes qui ont fait le choix conscient de se protéger.

Les traiter comme des suspects parce qu’ils refusent d’être identifiés par leur GPU, c’est une inversion troublante des valeurs : la surveillance devient la norme, et la protection de la vie privée devient l’anomalie suspecte.

La question des alternatives

Pour les opérateurs de sites web qui veulent protéger leurs utilisateurs des bots sans les tracer, les options réelles sont limitées :

• Les CAPTCHA visuels : mauvaise expérience utilisateur, de moins en moins efficaces face aux IA modernes.
• Les proof-of-work : faire calculer quelque chose de coûteux au navigateur pour prouver son authenticité mais cela consomme de l’énergie et peut bloquer des appareils peu puissants.
• Les mécanismes basés sur des comptes : demander une authentification mais cela exclut les utilisateurs anonymes et crée une friction.
• La confiance par défaut : certains développeurs choisissent simplement de ne pas mettre de protection anti-bot et d’accepter le spam et le scraping, une décision légitime pour beaucoup d’usages.

Il n’existe pas de solution parfaite qui soit simultanément efficace contre les bots, respectueuse de la vie privée, et universellement accessible. Mais cela ne justifie pas qu’un service qui s’est vendu sur la promesse du « sans fingerprinting » adopte secrètement le fingerprinting le plus intrusif disponible.

Ce que vous pouvez faire et ce que ça ne résoudra pas

Côté utilisateur

Vérifier si votre navigateur résiste au fingerprinting : Des sites comme coveryourtracks.eff.org (de l’Electronic Frontier Foundation) permettent de tester à quel point votre navigateur est identifiable par fingerprinting.

Utiliser Firefox avec resistFingerprinting : Firefox offre un paramètre privacy.resistFingerprinting (activable via about:config) qui généralise les réponses WebGL et d’autres APIs sensibles. Attention : cela peut déclencher les alertes Turnstile sur certains sites.

Signaler les sites problématiques : Les défenseurs de la vie privée recommandent de documenter les blocages et de les signaler aux mainteneurs des navigateurs concernés et à Cloudflare via leurs canaux officiels.

Côté développeurs

Si vous utilisez Turnstile sur votre site, réévaluez votre communication de confidentialité. Si votre politique de confidentialité indique que vous n’utilisez pas de fingerprinting, vous avez probablement un problème, Turnstile le fait pour vous, sans que vous en ayez nécessairement conscience.

Quand la sécurité et la vie privée deviennent des ennemies, qui doit arbitrer ?

Il y a une tension fondamentale au cœur de cette affaire qui dépasse largement Cloudflare.

La sécurité informatique et la vie privée sont souvent présentées comme des valeurs complémentaires. Dans une large mesure, elles le sont : mieux protéger ses systèmes, c’est aussi mieux protéger les données de ses utilisateurs. Mais dans le domaine spécifique de la lutte anti-bot, ces deux valeurs entrent en collision frontale.

Pour distinguer un humain d’un robot, il faut exploiter des différences. Et les différences les plus robustes, celles qu’un robot ne peut pas facilement simuler, sont précisément celles que les outils de protection de la vie privée cherchent à masquer : les caractéristiques uniques de votre matériel.

C’est un dilemme authentique. Je ne pense pas que Cloudflare soit simplement malveillante. Je pense que les ingénieurs qui ont fait évoluer Turnstile vers le WebGL fingerprinting ont résolu un problème technique réel : les bots devenaient trop bons pour passer les challenges précédents et ont pris la voie de la moindre résistance technique.

Le problème, c’est que cette décision a été prise sans transparence, par une entreprise qui avait construit sa réputation dans ce domaine sur des promesses explicites de respect de la vie privée. Si Cloudflare avait dit dès le départ « nous utilisons du WebGL fingerprinting pour distinguer les humains des bots », la conversation aurait été différente. Certains auraient dit non, et d’autres auraient accepté le compromis en connaissance de cause.

Mais présenter Turnstile comme une alternative « sans tracking » au reCAPTCHA, et implémenter silencieusement du tracking de très haute précision, c’est tromper les opérateurs de sites et leurs utilisateurs.

Avez-vous déjà été bloqué par Turnstile sur un site que vous utilisiez normalement ? Partagez vos réflexions dans les commentaires. Ce débat technique a des implications bien au-delà du monde des développeurs, il concerne tous ceux qui naviguent sur le web.