LinkedIn se retrouve au cœur d’une controverse majeure après la publication d’une enquête de BleepingComputer affirmant que la plateforme analyse discrètement les navigateurs de ses visiteurs pour détecter la présence de milliers d’extensions installées, tout en construisant une empreinte technique détaillée de leur appareil. Selon l’enquête, ce mécanisme fonctionnerait à chaque visite sur LinkedIn à partir d’un navigateur fondé sur Chromium, sans avertissement visible pour l’usager et sans description explicite dans la politique de confidentialité.

Au centre de l’affaire se trouve un système interne baptisé « Spectroscopy ». D’après BleepingComputer, lorsqu’un internaute ouvre LinkedIn, un bloc JavaScript de 2,7 mégaoctets est injecté dans la page et lance jusqu’à 6 222 requêtes afin de vérifier la présence de fichiers associés à des identifiants d’extensions Chrome. En clair, le site ne se contente pas d’observer la navigation sur sa propre plateforme. Il chercherait aussi à savoir quels outils l’utilisateur a installés dans son navigateur.

Le volet le plus sensible ne tient pas seulement au nombre d’extensions visées, mais à la nature des informations déduites. BleepingComputer affirme que la liste comprendrait plus de 200 outils concurrents des produits commerciaux de LinkedIn, notamment Apollo, Lusha et ZoomInfo. Dans cette logique, la plateforme pourrait savoir si certains professionnels ou certaines entreprises utilisent des services rivaux pour la prospection, la veille ou le recrutement. Comme LinkedIn connaît déjà l’identité professionnelle d’une bonne partie de ses membres, ce type de balayage pourrait offrir une visibilité stratégique sur les habitudes d’outillage de ses utilisateurs.

L’enquête va encore plus loin en soutenant que la liste inclurait aussi des extensions pouvant révéler des éléments beaucoup plus délicats, par exemple des outils liés à la recherche d’emploi, à des intérêts politiques, à des pratiques religieuses ou à certaines conditions neurodivergentes. C’est ici que l’affaire prend une dimension juridique et éthique plus lourde. Car même si LinkedIn n’affirme pas directement qu’un utilisateur cherche un emploi, le simple fait de détecter un module spécialisé dans ce domaine peut permettre d’en tirer une inférence significative, sans que la personne concernée en soit informée ni qu’elle ait donné son accord.

À ce balayage des extensions s’ajoute la collecte de 48 caractéristiques techniques de l’appareil. Notamment le nombre de cœurs du processeur, la mémoire disponible, la résolution de l’écran, le fuseau horaire, la langue, l’état de la batterie, les informations audio et la capacité de stockage. Pris isolément, ces éléments paraissent banals. Ensemble, ils permettent toutefois de construire une empreinte numérique suffisamment précise pour reconnaître un appareil même après la suppression des témoins de connexion.

Toujours selon BleepingComputer, ces données seraient ensuite sérialisées en JSON, chiffrées à l’aide d’une clé publique RSA identifiée en interne comme « apfcDfPK », puis envoyées vers des points de télémétrie comme « li/track » et « /platform-telemetry/li/apfcDf ». Surtout, cette empreinte serait ensuite ajoutée sous forme d’en-tête HTTP à chaque requête API durant la session. Cela signifie que le système ne se limiterait pas à une analyse ponctuelle au chargement de la page. Il suivrait ensuite toutes les actions de l’usager sur la plateforme, qu’il s’agisse d’une recherche, d’une visite de profil ou d’un message.

L’une des révélations importantes du texte concerne aussi l’ampleur croissante du procédé. L’enquête affirme que LinkedIn recherchait 38 extensions en 2017. Ce nombre serait passé à 461 en 2024, puis à 6 167 en février 2026, soit une croissance de 1 252 % en deux ans. BleepingComputer dit avoir confirmé par ses propres tests que le balayage était toujours actif au début d’avril 2026. Si ces chiffres sont exacts, on ne parle donc pas d’une fonction marginale ou expérimentale, mais d’un dispositif devenu beaucoup plus ambitieux avec le temps.

LinkedIn, de son côté, rejette fortement la manière dont l’affaire est présentée. La société a déclaré à BleepingComputer que les accusations étaient erronées et a soutenu que cette détection vise à protéger la vie privée de ses membres, leurs données et la stabilité du site, en repérant notamment les extensions qui aspirent des informations sans consentement ou qui violent ses conditions d’utilisation. L’entreprise ajoute qu’elle n’utilise pas ces données pour déduire des informations sensibles sur ses membres. Cette réponse ne nie donc pas le principe d’une détection d’extensions, mais elle en conteste l’interprétation et la finalité.

Dans ce contexte, la question juridique centrale devient la suivante : le fait de balayer plus de 6 000 extensions de navigateur et de combiner ce résultat avec une empreinte détaillée de l’appareil constitue-t-il un traitement de données sensibles ou au minimum un traitement insuffisamment transparent au regard des lois sur la protection de la vie privée ?

Il faut aussi mesurer la portée potentielle d’une telle pratique. LinkedIn revendique plus d’un milliard d’utilisateurs inscrits. La majorité accède à la plateforme depuis des navigateurs fondés sur Chrome, ce qui signifie que le système « Spectroscopy » pourrait fonctionner sur les appareils d’une fraction très importante de la population active mondiale. On n’est plus dans le cadre d’un simple test de sécurité réservé à quelques comptes suspects, mais dans celui d’un mécanisme qui, s’il est déployé comme décrit, pourrait toucher massivement les visiteurs ordinaires.

Pour l’usager, le problème est d’autant plus délicat qu’il n’existerait pas, selon BleepingComputer, de paramètre accessible permettant d’empêcher cette analyse. La seule parade mentionnée consisterait à utiliser un navigateur non fondé sur Chromium, comme Firefox, ce qui pourrait réduire sans forcément éliminer les capacités d’empreinte technique du site. L’absence d’option de refus est ici essentielle. Une pratique invisible, non documentée et sans mécanisme d’exclusion place l’utilisateur dans une position d’impuissance presque totale.

Mais cette affaire dépasse le seul cas LinkedIn. Elle montre à quel point l’écart reste grand entre ce que les plateformes peuvent techniquement observer et ce que les internautes comprennent réellement de la collecte de données qu’ils subissent. Depuis deux ans, le discours de l’industrie technologique insiste beaucoup sur l’IA responsable, la gouvernance des données et la transparence. Mais si les constats rapportés ici sont exacts, ils montrent qu’en pratique, certaines plateformes continuent de s’appuyer sur des mécanismes opaques, complexes et difficiles à détecter pour enrichir leur connaissance des usagers.

Et en arrière-plan, on parle de Microsoft qui ajoute une autre couche de lecture. Car LinkedIn appartient au groupe depuis 2016, après une acquisition de 26,2 milliards de dollars, et que Microsoft accélère fortement en 2026 dans le domaine de l’intelligence artificielle. Sans établir de lien direct de causalité, BleepingComputer souligne que les données professionnelles massives de LinkedIn représentent une ressource stratégique au moment où les grands groupes technologiques cherchent à renforcer leurs capacités en IA. Là encore, l’enjeu n’est pas de prouver une intention non démontrée, mais de rappeler que la question de la collecte de données ne se pose jamais dans le vide. Elle s’inscrit dans une économie de la donnée où chaque signal comportemental peut devenir précieux.

Source : BleepingComputer, The next web

******

Du lundi au vendredi, Bruno Guglielminetti vous propose un regard sur l’essentiel de l’actualité numérique avec 120 secondes de Tech.

Ou encore…

Écoutez la plus récente édition de Mon Carnet,
le magazine hebdomadaire de l’actualité numérique.