Online Tracking

Il y a 1 an et demi, Facebook rachetait à Microsoft l'adserveur Atlas. Pour délivrer la publicité sur internet (desktop, mobile, tablettes) et mesurer la performance de ses campagnes (display, search), les annonceurs utilisent un adserveur annonceur. Cet outil ne se contente pas de diffuser des bannières publicitaires et de mesurer des impressions ou des clics, il fournit par exemple des modèles d'attributions (si plusieurs points de contact avant achat, comment rétribuer ceux-ci?), ou une brique DSP (Demand-side platform) pour acheter et optimiser les achats sur les ad-exchanges.

Le leader mondial sur ce marché est Doubleclick (racheté en 2007 par Google) : il propose une suite pour les annonceurs appelé Doubleclick Campaign Manager. Atlas est un lointain second, Facebook a donc travaillé d'arrache-pied pour moderniser Atlas et y incorporer sa botte secrète : les données de ses utilisateurs.

La vidéo promotionnelle de Facebook Atlas

Quels sont les avantages concurrentiels d'Atlas?

Atlas permet de faire du capping cross-device. Quesako? Le capping est le nombre maximum d'impressions publicitaires auquel un utilisateur sera exposé lors d'une campagne (défini par l'annonceur, par exemple 3). Jusqu'à présent, il dépendait exclusivement des cookies, il était donc restreint à un navigateur (si tant est que l'internaute accepte les cookies tiers, et ne les efface pas). Vous pouviez donc voir la publicité Adidas 3 fois sur votre PC du bureau, 2 fois sur votre tablette et 2 fois sur votre PC personnel (c'est à dire 7 fois, le capping étant pourtant réglé à 3 mais l'adserveur ne pouvait vous reconnaitre personnellement sur vos différents devices, les 3 cookies correspondants à vos devices étant anonymes et n'ayant aucun liens entre eux). La plupart des internautes étant connectés à Facebook sur tous leurs devices (smartphone, tablette, PC de bureau, personnel...), celui-ci les reconnait et peut donc réellement limiter le capping à 3 ; exemple 2 fois sur votre PC du bureau et 1 fois sur votre tablette.

Au-delà du capping cross-device, Atlas permet de séquencer les créations en cross-device : vous pourrez par exemple être exposé à la création teasing sur votre smartphone, et à la création reveal sur votre tablette (lorsque vous surfez sur votre tablette, Atlas connait votre historique d'exposition sur votre smartphone).

Atlas permet de faire le lien entre une impression publicitaire et un achat Offline : c'est une extension de ce que propose Facebook sur son propre site. Via Atlas, Facebook sait si vous avez été exposé à une publicité, il fait ensuite le lien avec les bases de données d'achats de son partenaire Datalogix.

Atlas permet de cibler les utilisateurs Facebook selon leurs informations d'âge et de sexe. Ici Facebook aurait pu proposer plus d'options, mais cela aurait pu dévaluer son trésor de guerre (et risquer d'alarmer les utilisateurs si la publicité est trop ciblée).

Atlas permet de recibler les utilisateurs Facebook quelque-soit leur device : si vous surfez depuis votre PC personnel sur la page produit d'un annonceur, vous pourrez être reciblé sur votre smartphone ou tablette (joie...).

Le reporting proposé par Atlas est basé sur les personnes (et non les cookies) : il est à ce titre beaucoup plus fiable.

La promesse de Facebook Atlas pour le marketeur est donc très forte et constitue bien une menace pour Google et sa suite Doubleclick Campaign Manager. Chez Google, la frontière entre données de tracking publicitaire (rattachées à un cookie ID stocké sur le nom de domaine doubleclick.net), de webanalyse (rattachées à un cookie ID 1st party stocké sur le nom de domaine du site utilisant Google Analytics), et données personnelles (rattachées à un compte Google) est restée assez hermétique. Facebook ne s'embarrasse pas de ces cloisons : toutes les informations qu'il tracke sont rattachées à votre profil Facebook, même si vous n'avez pas idée de l'existence de ce tracking (exemple lors du surf sur l'appli Lemonde.fr). Esperons donc que Google ne s'engage pas sur cette voie...

Pour diffuser de la publicité, Atlas utilise des tags ayant comme nom de domaine atdmt.com (historique, déjà utilisé par Atlas avant le rachat de Facebook) : comment fait-il le lien avec votre compte Facebook? Ce lien n'est pas bien documenté par Facebook mais il est fort à parier que lorsque vous vous connectez à Facebook, celui-ci appelle un tag Atlas en lui passant en paramètre un hash de votre ID Facebook (documentation : "Atlas collects the following information via its cookies: Unique Identifiers (identifiers associated with a specific browser or device or derived from a user’s Facebook ID) [...]". Atlas peut alors stocker la table de correspondance.

Facebook étend son emprise dans le domaine de la publicité : avec l'ouverture de son ad-network mobile, Facebook Audience Network, vous serez maintenant ciblé sur les applications partenaires. Parmi les 1ères applications on retrouve LeMonde et Deezer mais le réseau est ouvert à toutes les applications, à condition de respecter la charte.

L'ad-network de Facebook sur l'appli iOS de Lemonde.fr

Facebook poursuit une stratégie similaire à Google, qui avait ouvert AdSense pour les sites web en 2003. L'inventaire sur Facebook étant limité, l'ajout d'applications partenaires permet de répondre à la demande des annonceurs pour des campagnes ciblées sans surcharger l'application Facebook de publicités. Tout comme Google avec AdWords et AdSense, un annonceur pourra étendre sa campagne (et son ciblage) aux applications partenaires en cochant simplement la case. Sur le ciblage mobile, Facebook prend de l'avance sur Google : celui-ci ne permet que de recibler les utilisateurs selon leur surf passé.

Comment êtes-vous ciblé selon vos données Facebook dans une application 'Lambda' n'incorportant pas le login Facebook? Pour cela, le développeur de l'application 'Lambda' doit installer dans son application le SDK de Facebook Audience Network. Celui-ci a accès à l'ID unique de votre téléphone (IDFA pour Apple, Advertiser ID pour Android) : lorsque vous utilisez l'application 'Lambda', les requêtes envoyées à Facebook contiennent cet identifiant. Si vous utilisez l'application Facebook sur votre mobile, Facebook a déjà pu faire la correspondance entre l'ID unique de votre téléphone et votre identité Facebook. Il peut alors vous servir de la publicité ciblé sur l'application 'Lambda'.

Facebook respecte-t-il l'opt-out d'iOS? Oui selon la FAQ de Facebook :

"When testing live ads, we see the error "1001 no fill". What does this mean?

This means we are not able to serve ads to this person. This could occur because:

The person testing has not logged into the native Facebook app on their mobile device

The person testing has enabled "Limit Ad Tracking" in their device settings (iOS only)

We don't have ad inventory to show for that person."

à noter que Facebook ne respecte pas l'opt-out d'Android, qui stipule pourtant : "Those users may also choose to "opt out of interest-based advertising". Apps will be instructed not to use the advertising ID to build profiles for advertising purposes or target the user with interest-based ads."

Je me pose 3 questions concernant cette nouvelle offre :

Le ciblage via les applications sera-t-il visible des utilisateurs et si oui, vont-ils s'alarmer voire désinstaller Facebook (imaginez une pub ultra ciblée sur l'appli Lemonde.fr)? Peu probable (j'imagine que Facebook a testé cette hypothèse au préalable).

Facebook va-t-il étendre l'offre au 'desktop' et se confronter en direct à Google AdSense? Ici je ne vois pas de contre-indications.

Les bannières publicitaires sur Internet sont omniprésentes, mais peu de gens comprennent réellement les mécanismes à l'oeuvre lors de l'affichage d'une bannière. Vous serez bientôt un expert ; ci-dessous, vous trouverez détaillé les différentes étapes de l'adserving, les numéros d'étapes étant également visibles sur le diagramme à la fin de l'article.

Lorsque vous naviguez sur votre site d'information préféré, votre navigateur appelle le serveur web du site d'information (1), celui-ci renvoie du code HTML (2) indiquant à votre navigateur où trouver le contenu (3) et comment le formater. Une partie du code HTML renvoyé (4) inclut un tag publicitaire (appelé aussi "redirect" dans le jargon publicitaire). Ce tag a été créé par l'éditeur sur son outil d'adserving éditeur puis installé sur son site.

Voici un exemple de tag publicitaire de la société française Smart AdServer, un des leaders des adserveurs pour éditeurs ;

<!-- Format : Rectangle Moyen 300x250 -->  <script type="text/javascript" src="http://www4.smartadserver.com/call/pubj/31733/219326/13519/S/[timestamp]/[target]?[countgo]" ></script> 

Ce tag pointe donc vers l'adserver de l'éditeur, cet outil renvoie alors sur le navigateur de l'internaute le tag de l'annonceur maximisant le revenu ainsi qu'un pixel lui permettant de compter l'impression publicitaire (6), tout en prenant en compte les contraintes suivantes :

L'éditeur peut avoir garanti un certain nombre d'impressions publicitaires (exemple : 10 millions d'impressions) à un annonceur donné, pendant une courte période (exemple : 2 semaines). Il lui faut donc délivrer l'ensemble de ces impressions.

Les campagnes publicitaires sont très souvent 'cappées', cela signifie que l'éditeur ne pourra pas afficher plus de X fois (exemple : 3 fois) une publicité à un même internaute.

Il permet également de compter les impressions publicitaires de chaque campagne vendu, l'éditeur peut ainsi vérifier la bonne livraison de ses campagnes et monitorer ses revenus publicitaires.

Excepté lors des cas où l'adserver éditeur renvoie un tag d'autopromotion, le navigateur appelle maintenant le tag publicitaire de l'adserver de l'annonceur (7). Cet outil permet à l'annonceur de mesurer et comparer l'impact (impressions, clics et conversions) de ses campagnes sur l'ensemble des canaux publicitaires (display, affiliation, search, emailing, réseaux sociaux), sans avoir à dépendre des statistiques de l'adserver éditeur. L'adserver annonceur choisit alors la bannière à afficher (8) et renvoie au navigateur l'URL du contenu final (jpg, flash, vidéo...), suivi d'un pixel permettant le comptage de l'impression. Ce contenu, souvent hébergé sur un CDN (réseau d'ordinateurs situés 'au plus près' de l'utilisateur final, opérés par des prestataires type Akamai) est alors appelé (9) puis délivré (10). Le navigateur appelle enfin le pixel d'impression (11), permettant à l'adserver de l'annonceur de compter l'impression publicitaire de son côté (12).

Suite de la navigation sur les services web : après Instagram qui ne sécurise pas vos échanges de bout en bout, Yahoo qui ne le fait pas par défaut sur son webmail, Amazon ne le fait que sur certaines pages, sur le web mais également sur les applis iOS et Android.

Si le pirate ayant intercepté votre connexion (toute personne se connectant au même réseau wifi non sécurisé que vous ou tout intermédiaire entre vous et Amazon lors de vos échanges) ne peut pas tout faire (changer le mot de passe demande d'entrer le mot de passe actuel), il aura néanmoins accès à de nombreuses possibilités telle que l'activation de la fonctionnalité d'achats en 1 clic d'Amazon et l'ajout d'une adresse postale, ce qui lui permettra d'acheter ce qui lui plaira en utilisant votre compte.

Saisie de vos cookies par le pirate grâce à l'extension Edit This Cookie sur Google Chrome

Suite à ma découverte qu'Instagram ne sécurisait pas les échanges excepté lors de l'authentification d'un utilisateur, j'ai voulu creuser le sujet en regardant du côté des webmails. Je savais que depuis longtemps, Google avait fait le nécessaire pour sécuriser Gmail et en effet, toutes les requêtes vers Gmail sont sécurisées ('de bout en bout') par défaut pour tous les utilisateurs depuis le 12 janvier 2010 (l'option pour sécuriser toutes les requêtes était déjà disponible depuis le 24 juillet 2008). Microsoft proposait l'option sur Hotmail depuis le 9 novembre 2010 et depuis la migration de Hotmail vers Outlook, les requêtes sont sécurisées 'de bout en bout' par défaut, pour tous les utilisateurs.

De son côté et sous la pression de multiples associations (lire la lettre de ces associations à Marissa Mayer), Yahoo! propose d'activer le SSL 'de bout en bout' depuis janvier 2013. Malheureusement, cette option n'est pas activé par défaut et l'option ne risque pas d'être retrouvée par la majorité des utilisateurs.

L'option 'Activez SSL' dans 'Options Mail'

Une personne interceptant votre connexion (toute personne se connectant au même réseau wifi non sécurisé que vous ou tout intermédiaire entre vous et Yahoo lors de vos échanges, à savoir la NSA, un pirate quelconque ou tout simplement un proche) pourra ainsi lire vos emails. Cette personne pourra également récupérer vos cookies de session pour se connecter elle même à votre compte, changer votre mot de passe, effacer vos emails, voler votre identité, etc. Ce piratage est extrêmement aisé, il suffit à un pirate d'installer l'extension Firefox Firesheep, de se connecter à un réseau WiFi non sécurisé (un réseau public par exemple) et d'attendre que d'autres utilisateurs se connectent à des sites non sécurisés (tels que Yahoo). Cette extension va automatiquement récupérer les cookies de session des différentes personnes connectées au réseau WiFi et proposer au pirate d’atterrir sur les comptes des victimes en un clic.

Instagram, l'application de partage de photos et vidéos achetée à prix d'or par Facebook (715 millions de $), n'a toujours pas résolue une faille de sécurité majeure : excepté lorsque vous vous loguez, aucun de vos échanges avec Instagram n'est sécurisé (depuis iOS, Android ou le Web).

Cela signifie qu'une personne interceptant votre connexion (toute personne se connectant au même réseau wifi non sécurisé que vous et tout intermédiaire entre vous et Instagram lors de vos échanges) pourra récupérer votre cookie de session (appelé sessionid par Instagram) et ainsi se connecter à votre comte. Au delà d'accéder à vos photos, cette personne pourra alors changer votre mot de passe, supprimer vos photos, poster ses propres photos, changer les autorisations des applications tierces, etc.

Suivant l'exemple de Facebook, Twitter vient de nouer un partenariat avec Datalogix afin de mesurer l'impact des tweets sur les achats Offline. Ce partenariat s'applique actuellement aux États-Unis, uniquement sur les biens de grande consommation. Une étude constituée de 35 marques montre par exemple qu'un utilisateur ayant interagi avec un tweet sponsorisé d'une marque aura 12% de chances de plus d'acheter qu'un utilisateur ayant simplement vu le tweet. De même, un utilisateur ayant vu un tweet organique d'une marque aura 8% de chances de plus d'acheter qu'un utilisateur n'ayant pas été exposé au message. Ce partenariat constitue donc une excellente opportunité de prouver l'efficacité de Twitter comme vecteur de communication, et d'augmenter ainsi les rentrées publicitaires avant une probable entrée en bourse en 2014.

Mais comment Twitter peut-il faire le lien entre une action Online et un achat Offline, tout en respectant la vie privée de ses utilisateurs? Le process est identique à celui utilisé entre Facebook et Datalogix :

Datalogix fournit à Twitter une gigantesque base de données contenant le hash de l’adresse email et l’id Datalogix de l’ensemble des utilisateurs qu’il tracke.

Twitter compare les hash email de Datalogix à ceux de ses utilisateurs : lorsqu’il y a correspondance, Facebook associe l’id Datalogix correspondant à l’utilisateur. Sinon, Twitter rejette et efface la donnée (le principe du hash empêche Twitter de retrouver l’email initial.

Si Twitter souhaite par exemple mesurer pour un annonceur l’effet d’une exposition à un tweet sur les ventes Offline, il créé 2 groupes ; le groupe A incluant toutes les personnes ayant vu le tweet, le groupe B incluant toutes les personnes n’ayant pas vu le tweet.

Pour chacun de ces 2 groupes, Twitter pose à Datalogix une question spécifique, exemple : “Combien de personnes ont acheté du jus d’orange?”

Datalogix répond pour ces 2 groupes, ce qui permet à Twitter de mesurer l’efficacité du tweet (sponsorisé ou non) sur les ventes de jus d'orange.

Ainsi Twitter est incapable de savoir si une personne spécifique a acheté du jus d’orange, tandis que Datalogix n’apprend rien sur le profil Twitter des acheteurs de jus d’orange.

Continuons notre exploration des traqueurs sur les applis Android de sites de news français et concentrons nous sur les applis LeMonde.fr et Lequipe.fr. Pour mesurer l'audience, ces applis utilisent les services d'AT Internet (anciennement Xiti). Celui-ci collecte un identifiant unique (idclient) lors de chaque évènement (consultation d'un article, envoi d'un article à un ami, ...) lui permettant ainsi de founir à ses clients des informations telles que le nombre de visites ou le nombre de visiteurs uniques sur leurs applications.

Détail d’une requête vers AT Internet (Xiti) provenant de l’application Android LeMonde.fr

Sur l'appli Android Lequipe.fr, AT Internet récupère le même identifiant (que l'on peut supposer être un hash de l'ANDROID_ID ou d'un autre identifiant matériel).

Détail d’une requête vers AT Internet (Xiti) provenant de l’application Android Lequipe.fr

Cette collecte d'un même identifiant pour 2 applications différentes n'est pas nécessaire à AT Internet, elle pose des questions de vie privée (AT Internet pourrait profiter de son vaste portefeuille d'applications Android pour constituer des profils comportementaux). Que faudrait-il faire?

Google devrait s’inspirer d’Apple et permettre à l’utilisateur de réinitialiser son ANDROID_ID.

Google devrait également proposer une option pour désactiver le tracking (empêcher les applis d’accéder à tout identifiant unique tel que l’ANDROID_ID).

Sur iOS, Apple permet de réinitialiser l'identifiant utilisé par les applications et leurs outils tiers à des fins de tracking publicitaire (IDFA). L'utilisateur peut également envoyer un signal indiquant qu'il souhaite limiter le suivi publicitaire. Ces options, bien qu'imparfaites, sont un premier pas vers un meilleur respect de la vie privée des utilisateurs. Qu'en est-il d'Android?

Dans un post daté de mars 2011, Google passe en revue différentes méthodes pour tracker les installations, via l'utilisation d'identifiants (numéro de série, adresse MAC, numéro IMEI...). Selon Google, dans la plupart des cas, il est préférable d'utiliser l'ANDROID_ID. Cet identifiant est accessible sur les smartphones et tablettes et à la différence des identifiants matériels type numéro de série ou adresse MAC, il est réinitialisé lors de la réinitialisation de votre appareil Android.

Cependant et à la différence d'iOS et de son IDFA, l'utilisateur n'a pas la main sur la réinitialisation de l'ANDROID_ID, à moins d'effacer tout le contenu de son téléphone. De même, aucune option n'est proposée pour bloquer l'envoi de l'ANDROID_ID (ou de tout autre identifiant accessible à un développeur d'applications Android) à un tiers, ou pour signaler la volonté de limiter le suivi publicitaire.

Voyons comment ce tracking se passe sur les applis LeMonde.fr, LeFigaro.fr et Lequipe.fr. Tout d'abord, ouvrons ces 3 applications et observons les requêtes envoyés vers Smart AdServer, l'outil utilisé par ces 3 applications pour diffuser leurs campagnes publicitaires. Lors d'une requête pour afficher une bannière publicitaire sur l'appli LeMonde.fr, Smart AdServer reçoit votre ANDROID_ID (uid sur la capture).

Détail d'une requête vers Smart AdServer provenant de l'application Android LeMonde.fr

SmartAdServer récupère également votre ANDROID_ID sur l'appli LeFigaro.fr.

Détail d'une requête vers Smart AdServer provenant de l'application Android LeFigaro.fr

Même "punition" sur l'appli Lequipe.fr qui permet à Smart AdServer de collecter votre ANDROID_ID.

Détail d'une requête vers Smart AdServer provenant de l'application Android Lequipe.fr

L'outil (SDK) proposé par Smart AdServer aux éditeurs d'applis mobile n'a pas vocation à construire des profils comportementaux pour chaque appareil Android. Et pourtant, lorsqu'il diffuse de la publicité, Smart AdServer collecte votre ANDROID_ID, quelle que soit l'application.

Que faudrait-il changer?

Google devrait s'inspirer d'Apple et permettre à l'utilisateur de réinitialiser son ANDROID_ID.

Google devrait également proposer une option pour désactiver le tracking (empêcher les applis d'accéder à tout identifiant unique tel que l'ANDROID_ID).

Avec l'arrivée d'iOS 6 il y a déjà presque 1 an, Apple a interdit l'utilisation de l'UDID par les applications. L'UDID, pour Unique Device Identifier, est le numéro unique identifiant votre iPhone/iPad/iPod, il ne peut être remis à zéro. Il était utilisé par de nombreuses applications et également transmis à des sociétés tierces à des fins de ciblage publicitaire. Celles-ci pouvaient ensuite construire un profil comportemental pour chaque utilisateur.

Apple n'a néanmoins pas oublié les publicitaires, il a remplacé l'UDID par 2 numéros ;

L'IDFA (advertisingIdentifier) fonctionnant de la même manière que l'UDID mais pouvant être réinitialisé par l'utilisateur. Il permet à des tiers (outils publicitaires principalement) de collecter vos informations sur différentes applis et de construire votre profil comportemental. Sur le site d'Apple ; "Unlike the identifierForVendor property of the UIDevice, the same value is returned to all vendors."

L'IDFV (identifierForVendors) limité à un développeur d'applications, il ne peut être réinitialisé par l'utilisateur mais ne permet à des tiers que la collecte de vos informations sur les applis appartenant à 1 développeur. Sur le site d'Apple ; "The value of this property is the same for apps that come from the same vendor running on the same device. A different value is returned for apps on the same device that come from different vendors, and for apps on different devices regardless of vendor."

Egalement, Apple a ajouté une fonctionnalité afin de limiter le tracking publicitaire. Pour réinitialiser votre IDFA ou limiter le tracking publicitaire, ce n'est pas simple : il vous faut aller sur Réglages > Général > Informations > Publicité.

Pour limiter le suivi publicitaire ou réinitialiser l'identifiant de publicité (IDFA)

Que se passe-t-il lorsque vous indiquez vouloir limiter le suivi publicitaire? La propriété est enregistré dans la variable advertisingTrackingEnabled (booléen) et accessible aux développeurs d'applications. Voici ce qui est indiqué sur le site d'Apple : "Check the value of this property before performing any advertising tracking. If the value is NO, use the advertising identifier only for the following purposes: frequency capping, conversion events, estimating the number of unique users, security and fraud detection, and debugging."

L'IDFA peut donc toujours être envoyé aux outils publicitaires, même si vous indiquez limiter le suivi publicitaire. Charge à eux de ne pas l'utiliser pour construire un profil comportemental (avec les applis que vous utilisez, la fréquence d'utilisation, les achats 'in-app', la géolocalisation, etc). Sur la capture écran ci-dessous, on voit que l'appli iPad Shazam transmet à AdMarvel votre IDFA, même si le tracking publicitaire est limité (AD_TRACKING_ENABLED=>NO).

Le logiciel Charles lancé pour capturer les requêtes de l'appli iPad Shazam, avec l'option 'tracking publicitaire limité''

Que faudrait-il changer?

Même si la possibilité de réinitialiser son IDFA est un grand pas en avant vers une meilleure gestion de la vie privée (action similaire à la suppression des cookies sur un PC), Apple pourrait faire beaucoup mieux en désactivant l'IDFA si l'utilisateur active 'Suivi publicitaire limité'.

AdMarvel devrait vérifier la valeur de la variable advertisingTrackingEnabled : si celle-ci est à faux (si l'utilisateur souhaite limiter le tracking publicitaire), AdMarvel ne devrait pas récupérer l'IDFA.

Apple devrait contrôler les applis sur l'AppStore et refuser celles qui récupèrent (et envoient à des outils publicitaires) l'IDFA, si l'utilisateur choisi de limiter le suivi publicitaire.

Apple ne devrait pas cacher la navigation permettant de réinitialiser l'identifiant de publicité ou de limiter le suivi publicitaire (rendre accessible ces options dans Réglages > Confidentialité et non dans Réglages > Général > Informations > Publicité)

Le "problème" vient ici de ce que permet Apple si l'utilisateur souhaite ne pas être tracké : "frequency capping, conversion events, estimating the number of unique users, security and fraud detection, and debugging". Cette phrase indique bien que l'IDFA peut toujours être collecté par les outils publicitaires, mais uniquement pour des usages bien précis (excluant la création de profils comportementaux). Mais personne ne peut vérifier que les outils publicitaires respectent réellement cette limitation, à moins d'envoyer des auditeurs chez tous les outils publicitaires...

La RATP n'est pas la seule à fuiter vos coordonnées GPS. Sous Android, Shazam, l'application permettant de reconnaitre le titre et l'artiste de la musique que vous écoutez transmet également vos coordonnées GPS, et ceci vers la société AdMarvel.

Tout d'abord, j'ai été surpris que sous Android, Shazam me demande l'accès à ma position précise. À la différence de l'appli RATP, Shazam n'a besoin de connaitre votre position pour bien fonctionner.

Les autorisations de l’application Shazam Android ; vous donnez accès à votre position approximative (réseau) et à votre position précise (GPS et réseau)

Ainsi lorsque vous lancez l'application et avant même le lancement de la détection d'une musique, Shazam appelle AdMarvel et lui transmet en clair un identifiant unique couplé à vos coordonnées GPS. En voici la preuve, via l'utilisation du logiciel Charles sur mon ordinateur et la configuration de mon smartphone pour y faire transiter le traffic :

Les informations transmises à AdMarvel par l'appli Android Shazam, coordonnées GPS dans target_params > GEOLOCATION

AdMarvel est une société détenu par Opera (le navigateur) fournissant aux développeurs d'applications un SDK leur permettant de vendre les publicités au meilleur prix et de diffuser des formats publicitaires "innovants".

Que faudrait-il changer?

Google devrait vérifier que vos coordonnées GPS ne sont transmises qu’à l’application utilisé et non à des tiers.

Google devrait permettre à l'utilisateur de désactiver l'envoi de coordonnées GPS à une application (même si cela dégrade les fonctionnalitées).

Shazam ne devrait pas vous demander l'accès à votre position approximative ou précise.

AdMarvel ne devrait pas utiliser votre position précise, mais seulement une approximation lui permettant un ciblage ville.

AdMarvel devrait encrypter ses requêtes (utiliser https au lieu de http).

Si vous acceptez qu'une appli de votre smartphone accède à vos coordonnées GPS, l'information que vous transmettez est sensible : l'application a accès à votre longitude et à votre latitude lorsque vous l'utilisez. Cela fait sens pour une application telle que la RATP afin de vous fournir le meilleur itinéraire en fonction de votre position.

Les autorisations de l'application RATP Android ; vous donnez accès à votre position approximative (réseau) et à votre position précise (GPS et réseau)

Ce que vous ne savez pas, c'est que certaines applications transmettent vos coordonnées GPS à des tiers, ceux-ci peuvent alors constituer une base de données de vos déplacements. Ainsi la RATP envoie vos coordonnées GPS à la société Sofialys (société du fonds d'investissement SFR Développement), l'outil utilisé par sa régie publicitaire mobile Addict Media. Pour cela, la RATP utilise ce qu'on appelle un SDK (Software Development Kit) fourni par Sofialys : un code à installer dans l'application pour afficher les publicités. Sofialys met d'ailleurs en avant les capacités de géo-ciblage de sa plateforme. C'est via ce code que la RATP va transmettre à Sofialys vos coordonnées GPS afin qu'Addict Media puisse vous cibler.

Pour me rendre compte de cette fuite d'informations, j'ai installé le logiciel Charles sur mon ordinateur et j'ai configuré mon téléphone et ma tablette pour y accéder.

Ce que vous transmettez à Sofialys via l'appli Android RATP

Vos coordonnées GPS sont ici transmises en clair à Sofialys avec le hash MD5 de votre numéro IMEI, numéro identifiant de manière unique votre téléphone ou tablette sur le réseau de l'opérateur chez qui vous vous connectez. À la différence d'un cookie, vous ne pouvez donc l'effacer.

Ce que vous transmettez à Sofialys via l'appli iPad RATP

En utilisant l'appli iPad, vous transmettez également en clair vos coordonnées GPS et du hash de votre IMEI mais aussi un identifiant unique appelé ODIN basé sur l'adresse MAC de votre iPad. Sofialys étant installé sur de nombreuses applications, cette société peut ainsi collecter à votre insu votre activité et vos positions GPS.

Que faudrait-il changer?

Si le ciblage publicitaire géographique peut avoir son intérêt, connaitre votre longitude et latitude pour vous cibler ne devrait être possible qu'avec votre autorisation. Apple et Google devraient vérifier que vos coordonnées GPS ne sont transmises qu'à l'application utilisé et non à des tiers.

Les SDKs Android et iOS de Sofialys, installés par la RATP sur ses applications, utilisent des identifiants permanents (hash IMEI et ODIN). Apple et Google devraient également vérifier que les applications n'utilisent que des identifiants pouvant être mis à zéro par l'utilisateur (similaire aux cookies). Apple a déjà travaillé en ce sens via l'introduction de l'IFA, mais n'a pas encore fait le ménage sur l'AppStore.

La RATP ne devrait pas transmettre vos coordonnées GPS à des tiers, pour cela elle devrait contrôler les codes publicitaires insérés dans ses applications.

Sofialys devrait brider son outil en se limitant au ciblage ville. Il ne devrait pas collecter votre longitude et latitude exacte.

Sofialys ne devrait pas se baser sur l'IMEI pour son tracking, un identifiant permanent. Il devrait utiliser l'IDFV sur iOS et un identifiant spécifique à chaque application sur Android.

Sofialys devrait encrypter les requêtes (utiliser https au lieu de http).

Addict Media ne devrait pas permettre à son outil, Sofialys, de collecter vos coordonnées GPS.

Audience Square est un regroupement d'environ 75 sites d'actualités détenu par 10 actionnaires dont M6, Le Monde, Libération, Les Echos ou Le Point. Cette structure est chargée de la mise en vente des "invendus" de ces sites.

En effet, ceux-ci disposent d'une force commerciale pour vendre des campagnes publicitaires "en direct" aux agences et annonceurs, exemple : Le Monde vend une campagne de 10.000.000 d'impressions à Renault, à afficher pendant 2 semaines avec un maximum de 3 expositions par internaute. Ces campagnes, avec volume d'impressions garanti sur une période déterminé, sont vendues chères. Mais malheureusement, les sites d'actualités sont loin de réussir à vendre tout leur inventaire publicitaire "en direct", et c'est là qu'Audience Square intervient.

Audience Square et son principal concurrent, La Place Media

Audience Square est un Ad Exchange privé. Qu'est-ce que cela signifie?

Chaque impression publicitaire est mis aux enchères en temps réel (mécanisme appelé dans le jargon publicitaire RTB pour "Real Time Bidding")

Les acheteurs sont pré-sélectionnés (tout les acheteurs n'ont pas accès à l'inventaire d'Audience Square)

Le but pour les éditeurs est d'éviter les intermédiaires (appelés ad-networks) lors de la vente de leur espaces publicitaires, et donc d'augmenter les revenus.

Quelle est la proposition de valeur d'Audience Square?

Un univers de marques média de qualité

Un volume d'impressions important

De la transparence sur les formats publicitaires mis en vente (haut de page, milieu de page, bas de page)

La visibilité des URLs pour les acheteurs (leur permettant une meilleure optimisation des achats)

Des offres basées sur des thématiques (je veux afficher ma publicité sur une thématique sport, culture, auto, ...) ou sur des profils d'internautes (les familles, les travellers, les geeks, ...)

Intéressons-nous à l'offre basée sur le profil des internautes, comment ces sites sont-ils capables de vous catégoriser et vendre aux enchères des impressions publicitaires basées sur votre profil?

Audience Square s'appuie sur Ezakus pour vous catégoriser et AppNexus pour vendre ses impressions publicitaires aux enchères sur votre profil : il faut donc qu'Ezakus transmette votre profil à AppNexus. Exemple, lorsque vous passez sur Le Monde.fr, site d'Audience Square :

Le Monde.fr appelle Ezakus, la société enregistre les URLs de votre surf sur chacun de ses sites clients, analyse ces URLs et en déduit votre profil comportemental. Ezakus peut ainsi fournir aux sites une analyse des profils comportementaux de leurs visiteurs.

Ezakus appelle AppNexus en lui demandant votre id cookie AppNexus (getuid, 1ère requête vers ib.adnxs.com sur la capture ci-dessous), celui-ci est le 6620665524904273359 comme l'indique le cookie uuid2 d'AppNexus (nom de domaine adnxs.com).

 Firebug lancé lors du chargement du site lemonde.fr

AppNexus renvoie votre id cookie AppNexus à Ezakus directement dans l'URL (dernière requête sur la capture ci-dessus, http://listener.ezakus.net/marker/sync/appnexus/6620665524904273359). Ezakus ayant accès à votre id cookie Ezakus, il peut ainsi y associer dans sa table de correspondance votre id cookie AppNexus.

Enfin, Ezakus envoie à AppNexus à intervalle régulier (exemple toutes les heures) les mises à jours de ses profils utilisateurs.

 Intéressé par un job chez Ezakus? Lisez le champ X-ezakus du header de leur réponse HTTP (oui, plutôt geek)

Audience Square peut ainsi vendre pour le compte de Le Monde.fr (et des autres sites de l'offre) des profils ciblés via la plateforme AppNexus.

Facebook a noué un partenariat avec Datalogix, entreprise indiquant posséder une base de donnée d'achats de 1 trillion de $ incluant presque tout les consommateurs US. Datalogix récupère ses données notamment via les programmes de fidélité proposés par les magasins.

Grâce à ce partenariat, Facebook est capable de mesurer l'influence de la publicité Facebook sur les achats Offline. Comment Facebook est-il capable de faire le lien entre l'exposition à une publicité Facebook et un achat en magasin, d'une manière qui respecte la vie privée de ses utilisateurs?

Datalogix fournit à Facebook une gigantesque base de données contenant le hash de l'adresse email, le hash du numéro de téléphone et l'id Datalogix de l'ensemble des utilisateurs qu'il tracke.

Facebook compare les hash email et téléphone de Datalogix à ceux de ses utilisateurs : lorsqu'il y a correspondance, Facebook associe l'id Datalogix correspondant à l'utilisateur. Sinon, Facebook rejette et efface la donnée (le principe du hash empêche Facebook de retrouver l'email ou le numéro de téléphone initial).

Si Facebook souhaite mesurer pour un annonceur l'effet d'une campagne publicitaire sur les ventes Offline, il créé 2 groupes ; le groupe A incluant toutes les personnes ayant vu la publicité, le groupe B incluant toutes les personnes n'ayant pas vu la publicité.

Pour chacun de ces 2 groupes, Facebook pose à Datalogix une question spécifique, exemple : "Combien de personnes ont acheté du jus d'orange?"

Datalogix répond pour ces 2 groupes, ce qui permet à Facebook de mesurer l'efficacité de la campagne publicitaire : afficher la publicité a-t-il amélioré le taux de conversion?

Ainsi Facebook est incapable de savoir si une personne spécifique a acheté du jus d'orange, tandis que Datalogix n'apprend rien sur le profil Facebook des acheteurs de jus d'orange.

Facebook a noué un partenariat avec 4 fournisseurs de données ("Data Brokers") : BlueKai, Datalogix, Epsilon et Acxiom. Ce partenariat permet aux annonceurs de vous recibler sur Facebook selon votre activité Online mais également Offline (à noter que ces fournisseurs ont beaucoup de données aux US mais ils sont peu présent en Europe). 

Comment cela se passe en pratique? Pour l'activité Offline (Datalogix, Epsilon et Acxiom), imaginez un de ces brokers collectant entre autres les bases de données client de différents supermarchés US (via les cartes de fidélité). Si ce broker a un partenariat avec Facebook, un annonceur pourra lui demander de transférer à Facebook une audience particulière afin de la recibler, exemple : les personnes ayant acheté un ordinateur lors des 12 derniers mois.

Concrètement, le broker créé la liste des emails des personnes ayant acheté un ordinateur lors des 12 derniers mois, puis envoie le hash de chacun de ces emails à Facebook. En retour, Facebook compare le hash de ses utilisateurs au hash envoyé par le broker : s'il y a correspondance, l'annonceur pourra recibler l'utilisateur sur Facebook. Sinon (si l'utilisateur n'est pas inscrit), Facebook rejette la donnée (le hash empêche Facebook de retrouver l'email de la personne).

Ciblage sur Facebook selon les données des brokers

Pour l'activité Online (BlueKai), le reciblage est basé actuellement uniquement sur les données du site de l'annonceur (BlueKai n'est donc pas ici un broker mais le partenaire de l'annonceur). De la même manière que pour le Facebook Ad Exchange, le site de l'annonceur va permettre l'envoi de votre id cookie chez le broker à Facebook, permettant à ce dernier de faire la correspondance entre id cookie du broker et id cookie Facebook (Cookie Matching). Le broker va alors ensuite pouvoir envoyer directement à Facebook (de serveur à serveur) la liste des catégories auxquels vous appartenez (exemple : client forfait téléphonie illimité) afin que l'annonceur puisse vous recibler sur Facebook.

Si vous souhaitez désactiver ce reciblage, il vous faudra vous désinscrire de chaque data broker, ce qui est particulièrement compliqué comme le montre ce guide de l'EFF et ne vous protège pas des futurs data brokers liant un partenariat avec Facebook.

Facebook propose à ses annonceurs de recibler une liste d'internautes. Ce produit est appelé Custom Audience Targeting et permet de recibler les internautes via l'adresse email (également possible sur Twitter), le numéro de téléphone (si entré sur Facebook), l'id Facebook ou l'id de l'appli Facebook de l'annonceur.

Création d'une 'Custom Audience' sur le Facebook Power Editor

Tout comme Twitter, Facebook propose aux annonceurs de recibler les internautes ayant montré un intérêt pour une offre commerciale. Ce reciblage peut se concrétiser sur le Facebook Ad Exchange, quelles en sont les étapes?

Lors de la consultation du site de Mercedes, celui-ci synchronise votre id cookie chez la plateforme d'achat de l'annonceur (appelé dans le jargon publicitaire DSP, pour "Demand Side Platform") avec votre id cookie chez Facebook. Ce mécanisme est appelé Cookie Matching (voir le détail sur l'aide Facebook) et permet à Facebook de maintenir une table de correspondance entre ses ids cookie et les ids cookie des différentes plateformes d'achat.

Lorsque vous surfez ensuite sur Facebook, certains inventaires publicitaires sont mis aux enchères en temps réel sur le Facebook Ad Exchange (FBX). Facebook interroge chaque plateforme d'achats partenaire (liste ici), en lui transmettant l'id cookie qui lui correspond (vous serez l'id 123 chez le partenaire A et l'id XYZ chez le partenaire B).

Chaque plateforme a alors 120ms pour répondre avec un prix et une publicité. Si Mercedes gagne l'enchère, vous verrez une publicité Mercedes.

Le Facebook Ad Exchange permet-il à Facebook d'amasser des informations supplémentaires sur vous? Non, car la seule information que Facebook récolte est votre id cookie chez les différentes plateformes d'achats. Chacune de ces plateformes a des informations sur vous, rattaché à l'id cookie (informations auxquelles Facebook n'a pas accès).

Cependant, et à la différence de Twitter, vous ne pouvez pas désactiver ce reciblage publicitaire depuis Facebook. Il vous faut aller sur le site de chacun des partenaires pour désactiver le reciblage (ou aller sur les pages US ou FR des associations publicitaires pour un "opt-out" global).

La page de Opt-Out Your Online Choices