Les sites de type lescans et les régies publicitaires qui leur sont associées exploitent des mécanismes bien plus variés que le simple pop-up. Notifications push abusives, scripts de malvertising assemblés dynamiquement dans le navigateur, redirections en chaîne : le périmètre des risques dépasse largement ce que couvre un bloqueur de publicités classique. Nous détaillons ici les vecteurs techniques concrets et les contre-mesures efficaces pour protéger votre navigateur.
Malvertising assemblé dans le navigateur : un vecteur que les bloqueurs classiques ne filtrent pas
Les campagnes de malvertising récentes ne se contentent plus de servir un fichier malveillant depuis un serveur identifié. Le rapport sur la campagne SourTrade décrit un mode dit browser-assembled malware : le code malveillant est fragmenté au sein de plusieurs créatives publicitaires, puis reconstruit et exécuté directement dans le moteur de rendu du navigateur.
A lire aussi : Sont sûres les lunettes AR ? Quels avantages et risques ?
Ce procédé contourne les listes de filtrage statiques utilisées par la plupart des extensions de blocage. Un filtre de type EasyList ou EasyPrivacy repose sur des URL et des patterns connus. Si le fragment publicitaire est servi depuis un CDN légitime et que l’assemblage se fait côté client via JavaScript, le filtre ne voit qu’une requête anodine.
Pour contrer ce type d’attaque, nous recommandons de combiner un bloqueur de publicités avec un paramétrage strict des autorisations JavaScript. Dans Chrome, la section Paramètres > Confidentialité et sécurité > Paramètres des sites permet de restreindre l’exécution de scripts sur les sites non approuvés. Firefox propose un mécanisme équivalent via les permissions par site.
Lire également : Promo Pixmania code immédiat : économisez dès votre première commande
Notifications push abusives : le principal vecteur de pub intrusive sur mobile
Google a communiqué que les systèmes anti-abus de Chrome sur Android bloquent désormais plus de 7 milliards de notifications abusives par jour. Ce chiffre illustre l’ampleur du détournement des notifications push comme canal de publicité intrusive et de phishing.
Le mécanisme est simple. Un site comme lescans affiche une invite de notification. L’utilisateur clique « Autoriser » par réflexe ou parce qu’un dark pattern l’y pousse. Le site obtient alors un accès persistant aux notifications système, même navigateur fermé.
Révoquer les autorisations de notification dans votre navigateur
- Sur Chrome desktop : accédez à chrome://settings/content/notifications, identifiez les sites autorisés et supprimez ceux que vous ne reconnaissez pas. Passez le paramètre par défaut sur « Ne pas autoriser les sites à envoyer des notifications ».
- Sur Firefox : ouvrez about:preferences#privacy, section Permissions > Notifications. Le bouton « Paramètres » affiche la liste complète des sites autorisés.
- Sur Chrome Android : Paramètres > Notifications > Sites. Désactivez l’ensemble, puis réactivez au cas par cas uniquement les services dont vous avez besoin (messagerie, agenda).
Le paramétrage par défaut de la plupart des navigateurs laisse les notifications ouvertes. Bloquer les notifications par défaut réduit la surface d’attaque de façon significative, bien plus que l’installation d’une extension supplémentaire.
Extensions de blocage et Manifest V3 : limites techniques à connaître
La migration de Chrome vers Manifest V3 a modifié en profondeur le fonctionnement des extensions de blocage. L’API webRequest, qui permettait à des extensions comme uBlock Origin d’intercepter et de modifier les requêtes réseau en temps réel, est remplacée par declarativeNetRequest. Cette nouvelle API impose des règles statiques déclarées à l’avance, avec un plafond sur le nombre de règles dynamiques.
En pratique, cela signifie qu’un bloqueur sous Manifest V3 ne peut plus analyser le contenu d’une requête à la volée pour décider de la bloquer. Il compare la requête à une liste pré-enregistrée. Face à du malvertising dynamique de type SourTrade, cette approche est structurellement moins réactive.
Alternatives côté navigateur
Firefox n’a pas adopté Manifest V3 de manière aussi restrictive. uBlock Origin y conserve ses capacités complètes de filtrage dynamique. Pour les utilisateurs qui naviguent régulièrement sur des sites à risque (streaming, téléchargement, agrégateurs de liens), Firefox avec uBlock Origin reste la combinaison la plus efficace pour le filtrage côté navigateur.
Sur Chrome, la version uBlock Origin Lite (compatible Manifest V3) offre un niveau de protection correct mais inférieur. Nous observons que les règles cosmétiques (masquage d’éléments HTML) fonctionnent encore, mais que le filtrage réseau perd en granularité.
Dark patterns et consentement aux cookies : le cadre réglementaire européen évolue
La Commission européenne travaille sur un Digital Fairness Act qui vise explicitement les dark patterns, y compris les bannières de consentement aux cookies conçues pour pousser l’utilisateur vers l’acceptation. Les interfaces de type « mur de cookies » (cookie walls), qui bloquent l’accès au contenu sans consentement publicitaire, sont dans le viseur.
Les bannières de consentement RGPD restent par ailleurs un sujet de non-conformité massif. De nombreux sites, lescans inclus, utilisent des designs où le bouton « Tout accepter » est visuellement proéminent tandis que le refus nécessite plusieurs clics. Ce type de design est considéré comme un dark pattern au sens du RGPD.
Pour contourner ces interfaces manipulatoires, des extensions comme « I don’t care about cookies » (rachetée par Avast) ou « Consent-O-Matic » rejettent automatiquement les cookies non nécessaires. Consent-O-Matic, développé par l’université d’Aarhus, reste la solution la plus transparente car son code est ouvert et ses règles vérifiables.
Paramétrage DNS et filtrage réseau : une couche de protection complémentaire
Le filtrage au niveau DNS constitue une protection en amont du navigateur. Un résolveur DNS filtrant comme ceux proposés par des services spécialisés bloque la résolution des domaines publicitaires et malveillants avant même que la requête HTTP ne soit émise.
- Ce filtrage fonctionne sur l’ensemble des applications de l’appareil, pas uniquement le navigateur.
- Il n’est pas affecté par les limitations de Manifest V3 puisqu’il opère à une couche réseau inférieure.
- Il peut être configuré au niveau du routeur pour protéger tous les appareils du réseau domestique sans installation individuelle.
La combinaison d’un résolveur DNS filtrant et d’un bloqueur côté navigateur crée deux niveaux de défense indépendants. Si un domaine publicitaire passe le filtre DNS (parce qu’il est servi depuis un CDN partagé), le bloqueur d’extension peut encore intervenir sur le contenu de la page.
La protection contre les publicités intrusives et les risques liés à des sites comme lescans repose sur un empilement de mesures complémentaires, pas sur un outil unique. Révoquer les notifications, verrouiller les autorisations JavaScript, choisir un navigateur qui préserve le filtrage dynamique des extensions et ajouter une couche DNS forment un dispositif cohérent. Chaque couche compense les angles morts de la précédente.
