Vie privée & cybersécurité9 min de lecture

Navigation privée : ce que le mode incognito cache vraiment

Le mode incognito n'efface que vos traces locales : FAI, employeur et sites voient toujours votre activité. Qui voit quoi, avec incognito, VPN ou Tor.

Par Jean Weber

Silhouette en chapeau et lunettes noires, déguisement incognito, exposée en pleine lumière par des projecteurs convergents
Sommaire

Fermez la fenêtre, aucune trace. C'est la promesse du mode incognito, et elle est vraie sur votre appareil, mais seulement là. Votre fournisseur d'accès, votre employeur et les sites que vous visitez, eux, continuent de voir votre activité. Voilà qui voit quoi exactement, et ce que changent (ou pas) un VPN et Tor.

Que fait vraiment le mode incognito ?

La navigation privée n'est pas vraiment privée : elle est locale. Le mode incognito de Chrome (fenêtre privée sur Firefox, Safari ou Edge) efface vos traces sur l'appareil à la fermeture de la fenêtre : historique, cookies, données de sites et informations saisies dans les formulaires. Il n'anonymise rien sur le réseau : votre adresse IP reste la même et votre trafic passe toujours par votre fournisseur d'accès. C'est une protection contre les personnes qui utilisent le même ordinateur que vous, pas contre le reste d'Internet.

Deux choses survivent d'ailleurs à la fermeture : les fichiers téléchargés et les favoris créés pendant la session. Et si vous vous connectez à un compte (Google, Amazon, un réseau social), votre activité est rattachée à ce compte, fenêtre privée ou pas.

Ce n'est pas une interprétation : c'est écrit sur la page d'aide officielle de Chrome. Les sites que vous consultez, votre établissement scolaire, votre employeur et votre fournisseur d'accès « peuvent être en mesure d'observer votre activité » en navigation privée. Google a même dû clarifier cet avertissement à la suite d'un procès (on y revient plus bas).

Que voit votre FAI (et votre employeur) en navigation privée ?

En navigation privée, votre fournisseur d'accès à Internet voit la même chose qu'en navigation normale : la liste des domaines que vous contactez, les horaires et les volumes échangés. Le mode incognito agit sur votre appareil, jamais sur ce qui circule dans le réseau. Pour votre FAI, une session incognito est indiscernable d'une session classique.

HTTPS (le cadenas dans la barre d'adresse) protège le contenu : votre FAI ne lit ni la page exacte que vous consultez, ni vos mots de passe, ni ce que vous tapez. Mais les métadonnées restent lisibles : vos requêtes DNS (l'annuaire qui traduit un nom de site en adresse) et le SNI (l'étiquette envoyée au début d'une connexion chiffrée) annoncent le nom de domaine en clair. Imaginez une enveloppe scellée : le contenu est illisible, mais l'adresse du destinataire est écrite dessus. Des protections récentes comme le DNS chiffré (DoH) et l'ECH réduisent cette exposition, mais l'adresse IP du serveur que vous contactez reste visible.

Sur le réseau de votre entreprise ou de votre école, la logique est identique : l'administrateur voit les domaines consultés. Et si l'appareil est fourni et géré par l'employeur, des outils de supervision peuvent enregistrer bien davantage (applications ouvertes, captures d'écran selon les configurations), incognito ou pas. Même chose sur un Wi-Fi public : le gestionnaire du réseau voit où vous allez.

Ces métadonnées intéressent aussi les États : les FAI sont soumis à des obligations légales de conservation de certaines données de connexion. Et la pression réglementaire ne faiblit pas, comme le montre Chat Control en Europe, qui vise cette fois le contenu des messageries.

Pourquoi les sites vous reconnaissent quand même

Une fenêtre incognito démarre sans cookies, mais les sites disposent d'autres moyens de vous reconnaître : votre adresse IP, l'empreinte de votre navigateur et vos comptes. Dès que vous vous connectez à un service, l'anonymat théorique tombe : la session est rattachée à votre identité, et tout ce que vous faites ensuite aussi.

Pendant la session elle-même, le pistage fonctionne normalement : les sites déposent des cookies neufs, les régies publicitaires suivent votre parcours de page en page. Ils sont simplement effacés à la fermeture (on a détaillé ce mécanisme dans les cookies expliqués simplement). Reste ensuite l'empreinte de navigateur : taille d'écran, polices installées, carte graphique, fuseau horaire... La combinaison suffit souvent à vous identifier sans aucun cookie. L'outil Cover Your Tracks de l'EFF vous montre en une minute à quel point votre navigateur est reconnaissable.

Ce malentendu a coûté cher à Google. Une action collective lancée en 2020 (Brown v. Google) accusait l'entreprise de collecter des données de navigation via Google Analytics et ses cookies, y compris en mode incognito. Dans l'accord conclu en avril 2024, Google s'est engagé à détruire ou anonymiser des milliards d'enregistrements de navigation privée, à réécrire l'avertissement affiché à l'ouverture d'une fenêtre incognito et à bloquer par défaut les cookies tiers en navigation privée pendant cinq ans. Les avocats des plaignants ont valorisé l'accord à plus de 5 milliards de dollars.

Incognito, VPN, Tor : qui voit quoi ?

Retenez la distinction : le mode incognito nettoie l'appareil, le VPN déplace la confiance, Tor anonymise l'origine. Ce sont trois réponses à trois problèmes différents, pas trois niveaux d'un même curseur. Voici, point par point, qui voit votre activité dans chaque cas.

  • Une personne qui utilise votre appareil : elle voit tout en navigation normale (l'historique reste) et avec un VPN ; elle ne voit rien après une session incognito ou Tor.
  • Votre FAI : il voit les domaines visités, en navigation normale comme en incognito ; avec un VPN il ne voit que le serveur VPN contacté ; avec Tor, seulement le relais d'entrée.
  • Votre employeur ou votre école (via le réseau) : même visibilité que le FAI ; un VPN ou Tor la bloquent, sauf outils de supervision installés sur un poste géré.
  • Les sites que vous visitez : ils vous reconnaissent en navigation normale comme en incognito (adresse IP, empreinte) ; un VPN masque l'IP mais pas l'empreinte ; Tor Browser banalise les deux.
  • Le fournisseur du VPN : il n'intervient pas dans les autres scénarios, mais dès que vous passez par lui, il voit tout ce que voyait votre FAI.

Le VPN crée un tunnel chiffré entre vous et son serveur : votre FAI ne voit plus les domaines, seulement que vous êtes connecté à un VPN. Mais le fournisseur du VPN, lui, voit exactement ce que voyait votre FAI. Vous ne supprimez pas la surveillance, vous choisissez qui l'exerce : tout repose sur la confiance dans ce prestataire (on détaille les critères de choix dans notre guide sur le fonctionnement du VPN). Attention aussi : sur un appareil géré par votre employeur, un VPN ne protège de rien, les outils installés sur le poste voient tout avant le chiffrement.

Tor va plus loin : votre trafic traverse trois relais tenus par des bénévoles, chiffré en couches successives. Aucun relais ne connaît à la fois votre identité et votre destination ; votre FAI voit seulement que vous utilisez Tor. Le navigateur Tor Browser banalise en plus l'empreinte de votre navigateur. Contrepartie : navigation nettement plus lente, et certains sites bloquent les connexions venant de Tor.

À quoi sert le mode incognito, alors ?

Le mode incognito reste utile pour ce qu'il fait réellement : empêcher que votre activité s'inscrive sur l'appareil. Recherche de cadeau sur l'ordinateur familial, session sur le poste d'un ami ou d'un hôtel, connexion simultanée à deux comptes du même service, test d'une page avec un profil vierge (sans cookies ni extensions, réflexe classique en développement web) : dans tous ces cas, il fait exactement le travail attendu.

Le bon outil dépend donc de la question que vous vous posez. « Je ne veux pas que mon conjoint voie cette recherche » : incognito. « Je ne veux pas que mon FAI ou le Wi-Fi de l'hôtel sache où je vais » : VPN de confiance. « Je veux dissocier mon identité de ma navigation » : Tor. « Je veux moins de pub ciblée » : ni l'un ni l'autre, commencez par refuser les cookies tiers et limiter les traceurs.

Et rappelez-vous ce que l'incognito ne fera jamais : cacher vos visites à votre FAI ou votre employeur, masquer votre adresse IP, ou vous protéger d'un site piégé. Ce n'est ni un anonymiseur, ni un antivirus. C'est une gomme locale, et c'est déjà utile, à condition de le savoir.

FAQ

Le mode navigation privée cache-t-il mon activité à mon FAI ?

Non. Votre fournisseur d'accès voit les domaines que vous contactez, en navigation privée comme en navigation normale. Seul le contenu des pages est protégé par HTTPS.

Mon employeur peut-il voir mon historique en navigation privée ?

Sur le réseau de l'entreprise, oui : l'administrateur voit les domaines consultés. Et si l'ordinateur est fourni et géré par l'employeur, des outils de supervision peuvent enregistrer bien plus, incognito ou pas.

La navigation privée bloque-t-elle les cookies et la publicité ciblée ?

Non. La session démarre sans cookies et les efface à la fermeture, mais pendant la navigation le pistage fonctionne normalement, et l'empreinte de votre navigateur reste identifiante.

Un VPN rend-il ma navigation totalement anonyme ?

Non. Il cache vos destinations à votre FAI et votre adresse IP aux sites, mais le fournisseur du VPN voit tout votre trafic, et les sites peuvent toujours vous reconnaître via vos comptes et votre empreinte de navigateur.

Quelle est la différence entre navigation privée, VPN et Tor ?

La navigation privée efface les traces locales sur votre appareil. Le VPN chiffre le trajet entre vous et son serveur, et masque votre IP. Tor fait transiter votre trafic par trois relais pour dissocier votre identité de votre destination.

Peut-on retrouver ce qui a été consulté en mode incognito ?

Pas dans l'historique du navigateur. Mais les téléchargements et favoris restent sur l'appareil, et le système d'exploitation peut conserver temporairement des traces techniques, comme le cache DNS.

Sources

À lire aussi