uBlock : le filtrage dynamique pour améliorer la vie privée

uBlock Origin est un puissant outil pour protéger la vie privée.
Il bloque les publicités et les trackers.
Mais pour les utilisateurs confirmés, il embarque aussi un blocage dynamique qui permet d’affiner le blocage.
Grâce à ce dernier, vous pouvez considérablement améliorer la vie privée sur internet mais aussi un gain de sécurité.
Il fonctionne un peu comme NoScript ou uMatrix.

Cet article vous explique ce qu’est le blocage dynamique, comment l’activer et l’utiliser pour bloquer tous les traqueurs tiers.

Introduction à uBlock Origin

uBlock est une extension pour Mozilla Firefox, Chrome et d’autres navigateurs WEB qui bloque la publicité.
Il fonctionne avec des règles de filtrage que l’on applique.
Ainsi lorsque vous téléchargez uBlock, des règles de filtrage par défaut sont téléchargées.
En général, elles visent à bloquer les régies publicitaires, du code publicitaire et éventuellement des adresses WEB malveillantes.

Seulement, cela ne permet pas de bloquer 100% des trackers.
Ainsi vous n’êtes pas complètement protéger contre les traqueurs et le pistage sur internet.

Le filtrage dynamique permet d’appliquer des règles globales et personnalisés au site visité.
De quoi compléter les listes de filtrages et permettre de mieux se protéger du pistage sur internet.
Avec ce dernier, vous pouvez très facilement bloquer le chargement de vidéo depuis une page WEB.
Des scripts tiers et donc des traqueurs.

Qu’est-ce que le filtrage dynamique d’uBlock et pourquoi l’utiliser ?

Avant de commencer pour compléter l’introduction, voici les limites des règles de filtrage.
Prenons le cas du site CNET qui est bourré de trackers (comme la plupart des sites WEB).
Déjà on se tape une pub en fond et l’avertissement RGPD sur les cookies.

Si on installe uBlock, les publicités disparaissent et la page est plus épurée.
Seulement, si on regarde plus en détaille le journal de bord, on s’aperçoit que le site fait des requêtes vers Facebook et Twitter.

Sur le site liberation.fr, c’est la même chose… des requêtes aussi vers facebook et twitter.

Les règles de filtrages sont impuissantes face à ces appels vers Twitter et Facebook car on ne peut pas bloquer globalement ces sites.
En effet, sinon en les consultant on aurait des problèmes d’affichage.
Il est aussi impossible de créer des règles personnalisées pour chaque site, cela devrait demander un travail considérable.
De plus, cela alourdirait les règles et l’utilisation mémoire pour utiliser uBlock serait multiplié.

C’est là que les règles dynamiques entrent en jeu.
Elles permettent d’appliquer des règles globales au site mais aussi personnalisée à ce dernier.
Vous pouvez très facilement bloquer le contenu tiers (3rd parties) comme des scripts.

Comment activer le filtrage dynamique sur uBlock

Pour commencer, activons le blocage dynamique sur uBlock qui ne l’est pas par défaut.

Comment utiliser le filtrage dynamique d’uBlock

Voici maintenant comment utiliser le filtrage dynamique d’uBlock Origin.
Il n’est pas forcément simple à utiliser au premier abord.
Ainsi, il y aura un temps d’adaptation et de configuration à effectuer selon les sites à visiter.

Le filtrage est géré dans uBlock Origin à deux niveaux: global et local. Les règles globales s’appliquent à toutes les URL, tandis que les règles locales concernent uniquement l’URL actuelle.

Les colonnes

La première colonne spécifie l’URL d’où provient le contenu.
On voit en haut des éléments global comme le contenu tiers, scripts de la page etc.
Puis ensuite, uBlock liste les URLs tiers qui se chargent à partir du site visités.

La deuxième colonne indique les paramètres globaux, hérités par les URL spécifiques

La troisième colonne indique les règles locales pour l’URL actuelle.

En haut de la liste, on trouve le contenu commun :

• Images : autoriser/bloquer les images à se charger
• Tierce-partie : tout ce qui est hors du contenu de la page. Par exemple, vous êtes sur malekal.com, cela charge du contenu hors malekal.com (Google, Twitter, etc).
• Scripts embarqués : balises de script en ligne, c’est-à-dire des scripts intégrés dans le document principal.
• Script du domaine de la page : autorise les scripts provenant du domaine de la page visée (Same-Origin Scripts).
• Scripts de tierce-partie : autoriser/bloquer que les scripts externes à la page visités.
• Cadres de tierce-partie : les frames, vidéos externes à au domaine de la page visitée.

Couleurs et cellules

On applique alors des règles à ces éléments qui s’affichent en couleurs :

• Rouge le contenu est bloqué
• Vert l’élément est autorisé
• Gris aucune règle ne s’applique

Les cellules de la troisième colonne donnent un aperçu du nombre de demandes bloquées / autorisées:

• - or + = entre 1 et 9 demandes réseau ont été bloquées ou autorisées, respectivement
• -- or ++ = entre 10 et 99 demandes de réseau ont été bloquées ou autorisées, respectivement
• --- or +++ = 100 demandes de réseau ou plus ont été bloquées ou autorisées, respectivement
• cellule vide = aucune demande de réseau ne s’est produite pour le nom d’hôte spécifique

Enfin l’image ci-dessous reprend tous ces explications.

Lorsque vous appliquez une nouvelle règle, les icônes suivantes s’affichent sur uBlock Origin.
Ainsi on peut autoriser un contenu temporairement pour tester ou exécuter une fois.

Des exemples d’utilisation du filtrage dynamique d’uBlock

On peut utiliser le filtrage dynamique de deux manières :

• Bloquer le contenu tiers globalement puis affiner site par site.
• Laisser tout ouvert et bloquer que ce que l’on souhaite site par site.

Bloquer le contenu tierce-partie (scripts, etc)

Par exemple, j’ai choisi de bloquer tout le tierce-partie et les scripts et cadres de tierce-partie.
Ainsi, les appels tiers sont bloqués, le chargement de vidéos l’est aussi par défaut, sauf si une règle local contredit cela.

En activant le blocage des scripts embarqués, on s’approche alors d’un NoScript puisque cela va bloquer le JavaScript.
Mais là on augmente les chances de casser les sites visités.

Si on retourne sur CNETFrance avec cette configuration, les appels vers Facebook et Twitter sont bloqués.
On voit aussi que cloudfront.net est en vert de manière globale pour autoriser le chargement des images.

Même chose sur le site liberation.fr où tout est bloqué sauf wtxcdn.com

Le journal montre bien que le blocage 3p-script.

Bloquer les scripts embarqués

Le test du JavaScript sur BrowserLeaks.
En temps normal, tout est autorisé.

Avec la configuration proposée.
On bloque les Third-Party Scripts et Inline Scripts mais pas le Same-Origin Scripts.

Bloquer le pistage twitter et Facebook

Sur Twitter, il faut autoriser en local les adresses twitter.com et twing.com (3e colonne).
Sinon le contenu ne s’affiche pas, on a droit à une erreur.
Surtout ne pas autoriser ces adresses de manière globale, car sinon vous autorisez les trackers twitter à se charger depuis n’importe quel site internet.

Autoriser une vidéo Youtube

Ci-dessous, j’autorise Youtube que sur malekal.com (règle locale) pour que les vidéos s’affichent.

Les règles de filtrage dynamique

Lorsque vous modifiez la configuration depuis la console, cela créé des règles de filtrages dynamique.
On les trouve alors dans

• le Tableau de bord > Mon filtrage dynamique.
• A gauche les règles permanentes puis à droite les règles temporaires
• Il faut cliquer sur Éditer dans la partie de droite, créer la règle et l’appliquer à gauche. La syntaxe est décrite sur la page suivante.

On peut à tout moment exporter ou importer ces dernières.

Les règles de filtrage dynamique sont les suivantes :

Ainsi pour bloquer, par exemple, les vidéos Youtube.com depuis le site malekal.com, la règle suivante peut être appliquée :

www.malekal.com youtube.com * block

Par exemple pour autoriser le contenu tiers depuis search.google.com :

search.google.com * 3p allow
search.google.com * 3p-frame allow
search.google.com * 3p-script allow
search.google.com * inline-script allow

Enfin par exemple pour autoriser des CDN pour tous les sites :

* .cloudfront.net * allow
* fastly.net * allow

On en parle un peu sur la page suivante : Comment bloquer du contenu spécifique sur uBlock (site ou adresse web, images, etc)

En vidéo