BrowserGate : LinkedIn scanne vos extensions de navigateur

Ce qui s'est passé

L'association européenne Fairlinked e.V., qui fédère les utilisateurs commerciaux de LinkedIn, a rendu publics début avril 2026 les résultats d'une investigation accablante, désormais connue sous le nom de BrowserGate. Selon son rapport, la plateforme injecte dans chaque page consultée un bundle JavaScript de 2,7 Mo dont la fonction première n'a rien à voir avec l'affichage. Ce script sonde silencieusement le navigateur du visiteur afin de détecter la présence de plus de 6 000 extensions Chrome identifiées nommément, puis assemble une empreinte numérique unique capable de suivre l'internaute bien au-delà des cookies traditionnels. L'affaire BrowserGate LinkedIn extensions navigateur soulève des questions juridiques immédiates au regard du RGPD et de la directive ePrivacy, qui encadrent strictement tout accès aux informations stockées sur l'équipement terminal d'un utilisateur, y compris hors cookies. Les autorités de contrôle européennes ont été saisies.

L'ampleur du scan a explosé au fil des années. En 2017, LinkedIn ciblait 38 extensions. En 2024, ce nombre était passé à 461. En février 2026, la liste atteignait 6 167 extensions, soit une augmentation de 1 252 % en deux ans. Les données collectées incluent le nombre de cœurs CPU, la mémoire disponible, la résolution d'écran, le fuseau horaire, les paramètres de langue et le statut de la batterie. Certaines extensions identifiées peuvent révéler des informations sensibles comme les convictions religieuses, les opinions politiques ou l'état de santé de l'utilisateur.

LinkedIn a répondu en déclarant que le scan vise à détecter les extensions qui extraient des données sans le consentement des membres, afin de protéger leur vie privée et d'assurer la stabilité du site. L'entreprise affirme ne pas utiliser ces données pour « inférer des informations sensibles sur les membres ». Toutefois, aucune mention de cette pratique n'apparaît dans la politique de confidentialité de la plateforme, ce qui pose un problème juridique majeur, notamment au regard du RGPD.

Pourquoi c'est important

Cette révélation soulève des questions fondamentales sur les pratiques de collecte de données des grandes plateformes. Le navigateur est devenu un outil central de notre vie professionnelle et personnelle. Scanner silencieusement les extensions installées équivaut à inspecter les applications d'un smartphone sans consentement. Certaines extensions comme les gestionnaires de mots de passe, les VPN ou les outils d'accessibilité peuvent révéler des informations très personnelles sur l'utilisateur.

Le cadre réglementaire européen, notamment le RGPD et le Digital Markets Act, exige une transparence totale sur la collecte de données significatives. Une opération de scanning de cette ampleur, conduite sans la moindre mention dans une politique de confidentialité, semble difficilement compatible avec ces exigences. Les entreprises qui gèrent la sécurité de leurs accès cloud doivent évaluer l'impact potentiel de cette collecte sur leurs employés utilisant LinkedIn.

Pour les professionnels de la cybersécurité, BrowserGate illustre aussi un vecteur d'attaque potentiel. Si un acteur malveillant parvenait à compromettre ce mécanisme de scan, il disposerait d'une cartographie détaillée des outils de sécurité installés par des millions d'utilisateurs, facilitant considérablement le ciblage d'attaques. La sécurité de la supply chain applicative passe aussi par la vigilance sur les scripts tiers exécutés dans le navigateur.

Ce qu'il faut retenir

• LinkedIn scanne plus de 6 000 extensions Chrome sans consentement explicite, une pratique qui pourrait violer le RGPD et le Digital Markets Act en Europe.
• Les entreprises devraient auditer les scripts exécutés par les plateformes tierces accessibles depuis les postes de travail, et envisager des politiques de Zero Trust plus strictes.
• Les utilisateurs peuvent se protéger en utilisant un profil de navigateur dédié pour LinkedIn, ou en bloquant les scripts tiers via une extension comme uBlock Origin.

Le procédé mis au jour par Fairlinked e.V. s'apparente techniquement à du device fingerprinting, une technique de traçage réputée plus intrusive que les cookies car elle échappe aux bannières de consentement classiques et reste difficile à bloquer sans extension anti-tracking dédiée. L'Autorité belge de protection des données et la CNIL ont déjà qualifié, dans des décisions antérieures visant Google et Criteo, le fingerprinting matériel de « donnée personnelle » dès lors qu'il permet de réidentifier un utilisateur unique — ce qui expose LinkedIn à un risque de sanction équivalent à celui encouru par ces acteurs, jusqu'à 4 % du chiffre d'affaires mondial du groupe Microsoft au titre de l'article 83 du RGPD.

L'affaire n'est pas isolée dans l'écosystème des grandes plateformes professionnelles. En 2023, Sephora avait été condamnée à 1,2 million de dollars par le California Attorney General pour avoir partagé des empreintes de navigateur avec des tiers publicitaires sans opt-out conforme au CCPA. Meta avait de son côté été visée en 2024 par plusieurs recours collectifs concernant son Meta Pixel, accusé de collecter des identifiants techniques sur des sites tiers à l'insu des utilisateurs. Ce qui distingue BrowserGate, c'est l'échelle du scan : cibler plus de 6 000 extensions nommément — dont des gestionnaires de mots de passe, des VPN et des outils de detox numérique — permet théoriquement de dresser un profil comportemental et idéologique bien plus fin qu'une simple empreinte technique, ce qui aggrave la qualification juridique vers un traitement de données sensibles au sens de l'article 9 du RGPD.

Pour les DSI et RSSI d'entreprises dont les salariés utilisent LinkedIn à des fins professionnelles, cette découverte relance la question de la gouvernance des extensions navigateur en environnement corporate. Un scan capable d'identifier la présence d'un VPN d'entreprise ou d'un outil de sécurité interne constitue potentiellement une fuite d'information sur la posture de sécurité de l'organisation, un vecteur de reconnaissance rarement anticipé dans les politiques BYOD.