Cookies et sessions
Témoins lisibles par JavaScript, métadonnées de témoins visibles par le serveur, jetons et indicateurs de session.
VOYEZ CE QUE VOTRE NAVIGATEUR RETIENT SUR VOUS
Mémoire du navigateur / Browser Memory
Voyez ce qu’un site Web peut apprendre de votre navigateur
AIProjet IA expérimental de GuruLabs
Cet analyseur examine les vraies données accessibles à cette origine : témoins (cookies), stockage Web, IndexedDB, Cache Storage, fichiers privés de l’origine, état de l’URL, adresse IP/données de requête visibles par le serveur et signaux d’empreinte du navigateur/appareil. Les valeurs JWT, JSON et Base64 sont décodées localement.
Ce que signifie « exposé » ici
Un résultat « exposé » signifie que la valeur ou le signal est accessible aux scripts exécutés sur ce site/cette origine, ou qu’il est visible au serveur Web lors d’une requête normale. Cela ne signifie pas que la donnée est publique sur Internet. Le navigateur empêche normalement ce site de lire le stockage privé de Facebook, Google, d’une banque ou d’autres sites sans lien.
GURULABS × AI
Un projet IA de GuruLabs consacré à la confidentialité du Web
Browser Memory / Mémoire du navigateur est un laboratoire gratuit créé par GuruLabs avec l’aide de l’intelligence artificielle pour rendre les risques de stockage, de suivi et d’empreinte du navigateur plus faciles à comprendre. Il ne remplace pas un audit de sécurité professionnel.
Les valeurs sensibles du stockage restent analysées dans votre navigateur. Google Analytics n’est chargé qu’après votre consentement et ne reçoit jamais le contenu brut de l’analyse.
BROWSER PRIVACY / CONFIDENTIALITÉ
Ce que l’analyseur de confidentialité vérifie
L’analyse combine les surfaces de stockage de la même origine, les informations visibles au serveur et les signaux que le navigateur expose normalement sans demander une autorisation sensible.
Stockage local et hors ligne
localStorage, sessionStorage, IndexedDB, Cache Storage, OPFS, service workers et état de l’URL.
Réseau et adresse IP
Adresse réseau vue par PHP, en-têtes HTTP, langue, Client Hints et autres informations d’une requête Web normale.
Empreinte du navigateur
Écran, appareil, GPU/WebGL, canvas, audio, fuseau horaire, capacités, réseau et autres signaux combinables.
Données structurées
Décodage local des JWT, JSON, Base64 et champs imbriqués afin de rendre les valeurs techniques compréhensibles.
Limites de sécurité
Le rapport explique aussi ce qu’un site ne peut pas lire directement : stockage d’autres origines, mots de passe enregistrés et fichiers arbitraires.
—/100
Lancez l’analyse pour calculer le score de risque.
Données exposées et sensibles
Valeurs réelles découvertes dans le stockage lisible par le navigateur. Ouvrez un résultat pour voir la valeur complète, les données décodées, l’impact potentiel et les pratiques plus sûres.
Aucune analyse pour le moment.
Inventaire du stockage et couverture
Témoins, localStorage, sessionStorage, IndexedDB, Cache Storage, OPFS, service workers, abonnements push et limites de stockage pour cette origine.
Aucune analyse pour le moment.
Exposition réseau, navigateur et empreinte
Adresse réseau/publique visible par PHP, en-têtes de requête, signaux du navigateur/appareil, GPU/canvas/audio, métadonnées de performance et requêtes tierces.
Aucune analyse pour le moment.
État des autorisations
Vérifie uniquement l’état. L’analyseur ne demande pas l’accès à la caméra, au microphone, à la localisation précise, au presse-papiers ni aux notifications.
Aucune analyse pour le moment.
Ce que ce site ne peut pas lire directement
Limites de sécurité du navigateur autour des témoins/stockages d’autres sites, gestionnaires de mots de passe, coffres de paiement, fichiers arbitraires et API nécessitant une autorisation.
Aucune analyse pour le moment.
SECURITY / SÉCURITÉ
Pourquoi les données stockées dans le navigateur peuvent devenir dangereuses
Le stockage du navigateur est utile, mais les données lisibles par JavaScript partagent la frontière de sécurité de la page. Si l’origine exécute du code malveillant — par XSS, script tiers compromis ou attaque de chaîne d’approvisionnement — les données lisibles peuvent devenir accessibles à ce code. Le stockage persistant peut aussi rester sur un appareil partagé, perdu ou volé.
Détournement de session ou de compte
Un jeton d’accès ou identifiant de session réutilisable peut permettre d’agir comme l’utilisateur connecté jusqu’à son expiration ou sa révocation, selon ses droits.
Atteinte à l’identité et à la vie privée
Nom, courriel, téléphone, adresse, renseignements de santé ou identifiants gouvernementaux peuvent faciliter hameçonnage, usurpation, profilage ou fraude d’identité.
Suivi persistant
Identifiants persistants, adresse IP, caractéristiques de l’appareil et signaux d’empreinte peuvent être combinés pour corréler des visites ou reconnaître un navigateur dans le temps.
Les données hors ligne peuvent persister
IndexedDB, Cache Storage, localStorage et OPFS peuvent survivre à une session. Des réponses API ou profils sensibles peuvent rester après la déconnexion si l’application ne les efface pas.
Les URL se propagent facilement
Un secret dans une chaîne de requête ou un fragment peut être copié, capturé en image, conservé dans l’historique, journalisé par des serveurs/analyses ou transmis via le référent selon la politique.
Les scripts tiers partagent les privilèges de la page
Un script chargé légitimement dans une page s’exécute normalement avec les privilèges JavaScript de cette page. Réduire les données sensibles lisibles par JavaScript limite l’impact d’une dépendance compromise.
Exemples : type de donnée → impact réaliste → pratique plus sûre
| Donnée / signal | Ce qui pourrait arriver en cas d’exposition | Pratique plus sûre |
|---|---|---|
| Jeton d’accès/session | Rejeu de session ou actions au nom de l’utilisateur, selon la portée et la validité du jeton. | Préférer des sessions courtes et révocables; lorsque pertinent, utiliser des témoins Secure + HttpOnly + SameSite et de fortes protections XSS. |
| Mot de passe / secret privé | Vol d’identifiants, compromission de compte, abus d’API ou compromission en cascade. | Ne jamais persister de mots de passe/secrets privés dans un stockage lisible par le navigateur. Garder les secrets serveur côté serveur. |
| Données personnelles / santé / gouvernementales | Hameçonnage, profilage, préjudice à la vie privée, usurpation ou fraude d’identité. | Minimiser la collecte et la persistance, protéger côté serveur et expirer/effacer les copies côté client. |
| Réponse API/profil mise en cache | Les données peuvent rester après la fermeture ou la déconnexion et être lues plus tard par des scripts de la même origine. | Éviter de mettre en cache les réponses sensibles sans nécessité; nettoyer les stockages hors ligne à la déconnexion et utiliser des contrôles de cache adaptés. |
| IP + signaux d’empreinte | Corrélation et reconnaissance probabiliste entre sessions lorsque plusieurs signaux sont combinés. | Collecter uniquement le nécessaire, réduire les scripts tiers, respecter les signaux de confidentialité et éviter l’empreinte inutile. |
FAQ
Questions fréquentes sur la mémoire du navigateur
Ce site peut-il lire mes cookies Facebook ou bancaires ?
Non. La politique de même origine du navigateur empêche normalement un site de lire les cookies et le stockage privé d’un autre domaine.
Pourquoi localStorage peut-il être risqué ?
localStorage est lisible par le JavaScript de la même origine. Une injection XSS réussie ou un script tiers compromis peut donc parfois accéder aux valeurs qui y sont conservées.
Mon adresse IP est-elle visible par un site Web ?
Oui. Une requête Web doit atteindre un serveur ou un proxy qui voit une adresse réseau source. Le rapport distingue cette information serveur des données stockées dans le navigateur.
Le scanner envoie-t-il mes cookies ou jetons à GuruLabs ?
Non. L’analyse des valeurs de stockage se fait localement. Les points PHP retournent uniquement les informations normales de requête et des métadonnées de cookies, pas leurs valeurs HttpOnly brutes.
Guide de sévérité
Critique
Jetons d’authentification, mots de passe, secrets, données de paiement ou identifiants à fort impact lisibles par les scripts.
Élevé
Données personnelles directes, identifiants de compte, profil sensible ou état pertinent pour la sécurité.
Moyen
Identifiants de suivi, IP/empreinte, état persistant, fuite via URL ou autres signaux augmentant l’exposition.
Info
Métadonnées décodées et protections du navigateur qui expliquent la frontière d’exposition.