À propos de tattletab
tattletab donne aux développeurs un rapport exact du navigateur d'un utilisateur : les fonctions de la plateforme web qu'il prend en charge et sa configuration, de l'écran et des polices au matériel graphique et à la langue. Envoyez le lien à vos utilisateurs ; ils vous renvoient un rapport pour déboguer. Il montre aussi à chacun ce que son navigateur révèle aux sites web.
Comment ça marche
Les navigateurs modernes exécutent toutes les vérifications. Les plus anciens, jusqu'à Internet Explorer 6, exécutent un petit script de base avec moins de vérifications. Sans JavaScript, rien ne peut être vérifié ; la page se contente alors de le dire.
Toutes les vérifications s'exécutent dans votre navigateur. La page demande aussi une fois au serveur ce qu'il voit
de votre connexion (adresse IP, en-têtes de requête, version TLS), pour que vous voyiez aussi cette partie. Trois autres
vérifications vont au-delà de la page : elle ouvre un WebSocket vers notre serveur, charge une petite page de test depuis
tattletab.jsfi.workers.dev (notre deuxième adresse) pour voir si les cookies tiers fonctionnent, et demande
votre adresse publique au serveur STUN public de Cloudflare (stun.cloudflare.com), comme le font les appels
vidéo, pour vérifier WebRTC.
Certaines vérifications essaient au lieu de seulement regarder : elles écrivent une entrée de test dans IndexedDB, l'API Cache et le système de fichiers privé de l'origine puis la suppriment aussitôt, lancent de petits workers et jouent un dixième de seconde de silence pour voir si la lecture automatique est autorisée. Rien n'est conservé.
Trois vérifications ne s'exécutent que si vous cliquez : le DRM vidéo, car certains navigateurs affichent alors un avertissement ; les services tiers, qui contactent des CDN, Google, Stripe, PayPal et d'autres, qui voient alors votre adresse IP ; et la vitesse de connexion, qui transfère jusqu'à 7 Mo environ depuis et vers notre serveur.
Trois tests demandent aussi votre autorisation, que le navigateur sollicite : caméra et micro (s'ils démarrent et avec quels réglages ; les flux s'arrêtent aussitôt et rien n'est enregistré), localisation (si elle fonctionne et sa précision ; vos coordonnées n'entrent jamais dans le rapport) et un test clavier et pointeur (les touches pressées dans le champ de test et la façon dont un trait dessiné est signalé). Les résultats restent sur la page comme le reste.
Pendant les vérifications, la page note les éléments et attributs que les extensions y ajoutent, afin que des extensions inconnues apparaissent aussi. L'identifiant d'empreinte est un hachage de vos valeurs calculé dans votre navigateur ; il n'est ni conservé ni envoyé.
Pour les développeurs
Liens de demande avec QR code, extrait de code pour votre site, fonctions requises, modèle de ticket, comparaison de rapports et API JSON : tout est sur la page développeurs.
Ce que deviennent vos données
Votre rapport reste dans votre navigateur tant que vous ne l'envoyez pas. Avant l'envoi, vous pouvez le modifier et retirer tout ce que vous ne voulez pas partager.
Un rapport envoyé est conservé 90 jours puis supprimé automatiquement. Toute personne qui a son lien peut le lire.
Les liens se composent de trois mots et de la date, par exemple acorn-chef-dune-2026-11-09. Pour rendre
les liens pratiquement impossibles à deviner, chaque connexion peut consulter au plus 60 rapports par minute.
Le site est hébergé par Cloudflare, qui traite votre adresse IP pour servir les pages.
Crédits
- Les mots des liens de partage proviennent de la EFF Short Wordlist de l'Electronic Frontier Foundation, sous licence CC BY 3.0 US.
- Les vérifications de fonctions sont générées à partir de MDN browser-compat-data 8.1.8, publié sous CC0 par MDN et ses contributeurs.
- Le statut Baseline et les noms des fonctions proviennent de web-features 3.45.0 du W3C WebDX Community Group, sous licence Apache 2.0.