Qui vous piste ? Un nouvel outil lit les fichiers que les sites publient déjà

Savoir qui affiche les publicités sur les sites que vous visitez, ou qui récolte des données dans les applications que vous utilisez, relève du parcours du combattant. L'information est pourtant semi-publique : elle existe, elle est déclarée, mais elle est éparpillée dans des fichiers techniques que personne ne lit.

Un service gratuit lancé récemment, decryptads.com, moissonne ces fichiers en continu et les recoupe. Le résultat est saisissant.

Les fichiers en question

• ads.txt : toutes les régies publicitaires et courtiers en données autorisés à diffuser des publicités ou à collecter des données sur le site.

• app-ads.txt : la même chose pour les applications mobiles et les applications de télévision connectée.

• buyers.json et sellers.json : les entités qui achètent, vendent ou revendent l'inventaire publicitaire.

Zach Edwards, directeur de la recherche chez DecryptAds et chercheur en menaces chez Infoblox, explique que ces données ne deviennent utiles qu'une fois croisées. Le site le formule sèchement : les problèmes d'intégrité de la chaîne d'approvisionnement « vivent rarement dans un seul fichier ».

Ce que ça donne sur un site grand public

Une recherche sur espn.com, l'un des sites sportifs les plus fréquentés au monde, remonte 143 partenaires publicitaires et 19 domaines de courtiers en données enregistrés.

Près de la moitié de ces courtiers collectent des données de géolocalisation sur les visiteurs qui ne bloquent pas les publicités. Trois autres déclarent collecter des empreintes d'appareil et des informations personnelles sensibles.

Le drapeau rouge : l'origine des intermédiaires

DecryptAds signale visuellement les partenaires publicitaires basés dans des zones qu'il qualifie « à risque géographique » — Chine, Russie, ou pays aux liens financiers et politiques étroits avec les deux, comme Chypre et les Émirats arabes unis.

Toujours sur espn.com, quatre entités publicitaires sont dans ce cas. Parmi elles, la société Between Digital, qui affiche une adresse à New York mais dont le dossier signale une entreprise russe : ses offres aux éditeurs sont traitées par Alfa Bank, première banque commerciale privée de Russie, placée sous sanctions américaines en 2022 après l'invasion de l'Ukraine. Krebs on Security a sollicité un commentaire de l'entreprise et de son fondateur, sans réponse à la publication.

Le même acteur apparaît sur plusieurs sites d'information militaire américains — armytimes.com, airforcetimes.com, defensenews.com, navytimes.com et d'autres — aux côtés de deux entités émiraties et d'une société au Panama. Between Digital collecte des données publicitaires sur environ 55 000 sites partenaires.

Un détail structurel intéresse particulièrement les chercheurs : les déclarations de Between Digital la présentent à la fois comme éditeur et comme revendeur sur environ deux tiers de son portefeuille.

Cela signifie qu'ils jouent des deux côtés de l'équation d'enchère, ce qui crée des occasions d'orienter les dépenses des clients vers leurs propres propriétés. Le problème que nous avons aujourd'hui, c'est que pendant des années presque personne n'a surveillé ces fichiers ads.txt et app-ads.txt.

Le cas Opera

Le navigateur Opera reste très utilisé, et beaucoup d'utilisateurs ignorent qu'il est majoritairement détenu et contrôlé depuis 2016 par l'entreprise chinoise Kunlun Tech — même si son siège opérationnel est resté à Oslo.

Le profil d'opera.com identifie 27 courtiers en données enregistrés, dont 15 partenaires aux Émirats, six en Chine, trois à Chypre, deux en Russie, un à Hong Kong et un en Ukraine. DecryptAds précise que ces sociétés ne représentent que 7 % des partenaires publicitaires déclarés dans ses fichiers.

Les « retraits silencieux »

Quand une régie soupçonne un annonceur de clics frauduleux ou de publicités malveillantes, elle le retire très souvent de sa liste de partenaires autorisés sans prévenir personne. La pratique permet aux acteurs douteux d'échapper à toute mise en cause et de continuer ailleurs.

DecryptAds tient un flux des retraits, qui corrèle les suppressions dans les fichiers sellers.json à travers toutes les places de marché pour un même vendeur. C'est probablement sa fonction la plus utile : elle transforme un signal invisible en indicateur consultable.

Le lien avec les publicités malveillantes

Le « malvertising » — l'insertion de publicités qui installent un logiciel malveillant ou redirigent vers du hameçonnage — se concentre de moins en moins sur les grands sites, qui déploient des outils de détection, et de plus en plus sur les fermes de contenu générées par IA.

Aucune de ces fermes de contenu IA ne paie pour ce genre de protection. Elles signent avec les partenaires de la plus mauvaise qualité, et cela devient essentiellement un rail graissé pour cibler leurs utilisateurs avec des publicités malveillantes. La plupart des attaques de malvertising ne se produisent pas sur espn.com, mais sur une ferme de contenu de qualité médiocre où quelqu'un est arrivé parce qu'elle est remontée dans une recherche.

L'enseignement pratique est là : une organisation touchée par une publicité malveillante ignore souvent quoi faire, alors que la réponse figure généralement dans le fichier ads.txt du site concerné. Encore fallait-il pouvoir le lire.

Source

Krebs on Security, « Who's Tracking You? Use This New Service to Find Out », 14 août 2026. Les chiffres cités proviennent des déclarations publiées par les sites eux-mêmes, telles que recoupées par DecryptAds.