Mon fournisseur internet peut-il voir mon historique ?

Réponse courte : non, votre fournisseur d'accès à internet (votre FAI) ne peut pas voir ce que vous cherchez, mais il peut voir chaque site web que vous visitez, même en HTTPS, en navigation privée et après avoir effacé votre historique. Il voit chaque domaine, l'heure de connexion, la durée et la quantité de données échangées. Il ne voit pas les pages précises, vos recherches ni ce que vous tapez sur les sites chiffrés. Le DNS chiffré réduit ce qui fuit, et un VPN ou Tor cache les sites eux-mêmes.

Il circule deux idées reçues sur les fournisseurs d'accès, et toutes deux sont fausses. La première dit que votre FAI lit tout, jusqu'à ce que vous tapez dans un moteur de recherche. La seconde dit que le cadenas HTTPS a rendu votre FAI aveugle. La vérité est entre les deux, et savoir exactement où elle se situe vous dit quelles solutions valent votre temps.

Ce que votre fournisseur internet peut voir, et ce qu'il ne peut pas voir

Imaginez chaque requête web comme une enveloppe. Le HTTPS scelle la lettre à l'intérieur. L'adresse écrite dessus doit rester lisible pour que le réseau puisse la livrer.

Caché à votre FAI sur les sites HTTPS : l'adresse complète de la page après le domaine, vos recherches, ce que vous saisissez dans les formulaires, vos mots de passe, vos messages et le contenu de la page.

Visible pour votre FAI : le domaine auquel vous vous êtes connecté, l'heure, le temps passé, la fréquence de vos visites et, à peu près, la quantité de données échangées.

Votre FAI ne sait donc pas quel article vous avez lu sur un site de santé. Il sait que vous avez visité ce site à 23 h 40, pendant vingt minutes, tous les mardis. Ce schéma en dit souvent plus que l'article.

Votre fournisseur internet peut-il voir ce que vous cherchez sur Google ?

Pas les mots. Tous les grands moteurs de recherche se chargent en HTTPS, donc le texte que vous tapez, les suggestions qui s'affichent et la page de résultats circulent chiffrés. Votre FAI voit une connexion à google.com et rien de ce que vous lui avez demandé.

Ce qu'il peut voir, c'est la suite. Chaque résultat sur lequel vous cliquez est une visite distincte vers un domaine distinct, et ces domaines sont visibles. Cherchez un symptôme, puis ouvrez trois sites médicaux et la page de prise de rendez-vous d'une clinique : le sujet de votre recherche se devine sans peine à partir des seuls sites.

Votre historique de recherche, lui, est conservé par le moteur de recherche, pas par votre FAI. Si vous êtes connecté à Google, il se trouve dans votre compte Google, et voici les paramètres qui le contrôlent (en anglais).

Les trois endroits où le nom du site fuit

La plupart des guides s'arrêtent à « le HTTPS cache le contenu, pas le domaine ». Ce qui est utile, c'est de savoir où le domaine fuit, car chaque fuite a sa propre solution.

1. Les requêtes DNS. Avant de charger un site, votre appareil demande à un serveur DNS de traduire le nom en adresse. Par défaut, cette question part vers le serveur DNS de votre FAI, sans chiffrement. C'est une liste en direct de chaque domaine que vous visitez.
2. Le champ SNI de la négociation TLS. Le premier message d'une connexion HTTPS nomme le site voulu, dans un champ appelé Server Name Indication, et il est traditionnellement envoyé en clair. Une norme plus récente, Encrypted Client Hello (ECH), le cache. Les versions actuelles de Chrome et Firefox prennent en charge ECH, et Cloudflare l'active par défaut (en anglais) pour les sites de son offre gratuite, mais beaucoup de sites ne le proposent toujours pas.
3. L'adresse IP de destination. Les paquets doivent bien aller quelque part. Sur un gros hébergement partagé, une IP peut couvrir des milliers de sites, alors que sur un serveur dédié, elle désigne directement un seul site.

Ce que votre FAI voit à chaque niveau de protection

Votre FAI voit-il votre historique en navigation privée, ou après l'avoir effacé ?

Oui dans les deux cas, et pour la même raison. La navigation privée et le bouton « effacer l'historique » n'agissent que sur la copie que votre navigateur garde sur votre appareil. Votre FAI ne lit jamais cette copie. Il voit votre trafic au moment où il traverse son réseau.

• Navigation privée : vos connexions quittent votre appareil exactement comme dans une fenêtre normale, donc les requêtes DNS, les noms des sites et les adresses IP restent visibles. Notre guide sur ce que cache vraiment la navigation privée (en anglais) couvre le reste.
• Historique effacé : effacer l'historique, les cookies ou le cache de votre navigateur supprime les traces locales. Ce que les systèmes de votre FAI ont enregistré l'a été de son côté et y reste aussi longtemps qu'il garde ce genre de données. Rien sur votre appareil ne peut l'atteindre.

La seule chose qui change ce que voit votre FAI, c'est de changer ce qui sort de votre appareil, et c'est ce que font les niveaux du tableau ci-dessus.

Votre opérateur mobile voit-il votre historique en 4G ou 5G ?

Oui. En données mobiles, votre opérateur est votre FAI, et il voit le même tableau, au niveau du domaine, qu'un fournisseur fixe : les sites et services auxquels votre téléphone se connecte, quand, et combien de données ont circulé. En Wi-Fi, le tableau passe au FAI qui se trouve derrière ce Wi-Fi, plus la personne qui gère le routeur.

Certains opérateurs disent clairement qu'ils s'en servent. Exemple américain : le programme Custom Experience de Verizon utilise des « informations sur les sites web que vous visitez et les applications que vous utilisez sur votre appareil mobile » (en anglais). Verizon dit n'utiliser que la première partie de chaque adresse web et écarter les catégories sensibles, et précise que vous faites partie du programme sauf si vous vous désinscrivez (en octobre 2026). La désinscription se fait dans les préférences de confidentialité de My Verizon. Les opérateurs détiennent aussi quelque chose de plus sensible que la navigation : en avril 2024, la FCC (le régulateur américain des télécoms) a infligé aux plus grands opérateurs mobiles des États-Unis environ 196 millions de dollars d'amendes au total pour avoir vendu l'accès à la localisation en temps réel de leurs clients, comme détaillé plus bas.

Pour réduire ce que voit votre opérateur, activez le DNS privé sur Android : l'option Automatique utilise le DNS chiffré quand le réseau le permet, ou vous pouvez indiquer un fournisseur. Sur iPhone, le DNS chiffré demande un profil de configuration ou une application. Un VPN sur le téléphone cache complètement les noms des sites à l'opérateur.

Testez votre navigateur en une minute

Vous pouvez vérifier deux de ces fuites tout de suite.

• Votre DNS est-il chiffré ? Allez sur one.one.one.one/help (page en anglais). Si vous utilisez le résolveur de Cloudflare, elle indique si vous êtes connecté en DNS over HTTPS ou en DNS over TLS. Beaucoup d'autres résolveurs ont une page de vérification semblable.
• Votre SNI est-il chiffré ? Allez sur tls-ech.dev, une page de test (en anglais) compatible avec ECH. Si elle affiche « You are not using ECH », votre navigateur vient de donner le nom du site en clair à votre FAI. Si elle indique que vous utilisez ECH, le nom a été caché. Si elle dit toujours que vous ne l'utilisez pas, activez d'abord le DNS chiffré. Le navigateur récupère la clé ECH de chaque site par une requête DNS, et Mozilla explique (en anglais) qu'ECH s'appuie sur le DNS over HTTPS pour l'obtenir. Un site qui n'a pas activé ECH reste visible quoi que vous fassiez.

Les FAI regardent-ils vraiment votre historique ?

Pas au sens où quelqu'un ferait défiler votre soirée. La collecte est automatique, et les données servent de trois façons.

1. La publicité et le marketing. En octobre 2021, la FTC (l'autorité américaine de protection des consommateurs) a publié un rapport sur six grands FAI américains couvrant environ 98 % du marché mobile. Elle a constaté qu'ils avaient « accès à tout leur trafic internet et à leur localisation en temps réel » (en anglais), qu'ils combinaient données personnelles, usage des applications et navigation web pour cibler les publicités, et qu'ils classaient certains abonnés dans des catégories sensibles comme l'origine ethnique et l'orientation sexuelle, tout en « n'offrant pas aux consommateurs de vrais choix ».
2. La gestion du réseau. Les fournisseurs utilisent les données de trafic pour gérer la congestion et la sécurité de leur propre réseau.
3. Les demandes judiciaires. Aux États-Unis, une simple injonction (subpoena) suffit pour obliger un fournisseur à remettre le nom et l'adresse d'un abonné, les « relevés des heures et durées de session » (en anglais) et l'adresse IP qu'il lui a attribuée. Des données plus détaillées exigent une ordonnance d'un tribunal ou un mandat, et la loi n'oblige pas le fournisseur à vous prévenir.

La réponse honnête à « mon FAI s'intéresse-t-il à ce que je cherche ? » est donc que personne là-bas ne le lit, mais que les données existent, qu'elles ont une valeur commerciale et qu'elles peuvent être remises.

Pourquoi votre FAI garde ces données

Parce qu'elles ont de la valeur, et que la loi américaine le permet. En 2016, la FCC a adopté des règles qui auraient obligé les FAI à obtenir un consentement explicite avant d'utiliser ou de vendre des données sensibles comme l'historique de navigation. Le Congrès les a abrogées avant leur entrée en vigueur : la résolution S.J.Res. 34 (en anglais) a été signée le 3 avril 2017.

La localisation montre jusqu'où cela va. En avril 2024, la FCC a infligé aux plus grands opérateurs mobiles américains environ 196 millions de dollars d'amendes au total pour avoir vendu l'accès à la localisation en temps réel de leurs clients : environ 57 millions de dollars pour AT&T, 47 millions pour Verizon, 80 millions pour T-Mobile et 12 millions pour Sprint, comme l'a détaillé Krebs on Security (en anglais). En juin 2026, la Cour suprême des États-Unis a donné raison à la FCC (en anglais) contre AT&T et Verizon.

Combien de temps les fournisseurs internet gardent-ils votre historique ?

Aux États-Unis, aucune loi générale n'oblige les FAI à garder une trace des sites que vous visitez, ni à l'effacer. Cela varie donc selon l'entreprise et figure, de façon assez vague, dans chaque politique de confidentialité. D'autres pays l'imposent. Au Royaume-Uni, l'Investigatory Powers Act de 2016 permet au gouvernement d'exiger des fournisseurs qu'ils conservent des « internet connection records » (relevés de connexion internet) pendant 12 mois (en anglais) au maximum.

Pouvez-vous consulter ou demander votre propre historique chez votre FAI ?

Aucune page de votre espace client ne liste les sites que vous avez visités, et votre facture ne les montre pas. Vous pouvez toutefois le demander, et à certains endroits le fournisseur est tenu de répondre.

• Dans l'UE et au Royaume-Uni, le RGPD vous donne le droit de savoir si une entreprise traite vos données personnelles et d'obtenir « une copie des données à caractère personnel faisant l'objet d'un traitement » (article 15). Envoyez une demande d'accès au contact chargé de la confidentialité ou de la protection des données de votre fournisseur.
• En Californie, le CCPA vous donne le droit de connaître les « éléments précis d'informations personnelles collectés » (en anglais) par les entreprises qui dépassent ses seuils de taille, ce qui couvre les grands FAI. La plupart des fournisseurs ont un formulaire de demande pour cela.
• Ailleurs aux États-Unis, consultez la politique de confidentialité de votre fournisseur et la loi de votre État sur la vie privée pour trouver un droit d'accès semblable.

Ce que vous recevez dépend de ce que le fournisseur garde réellement. Vous obtiendrez peut-être des données de compte, de facturation et de consommation plutôt qu'une liste de sites, ce qui est déjà une réponse utile.

Comment empêcher votre fournisseur internet de voir votre historique

Suivez ces étapes dans l'ordre. Chacune ferme une fuite différente.

1. Restez en HTTPS. Presque tous les grands sites l'utilisent, et les navigateurs actuels y passent automatiquement quand ils le peuvent. Il cache déjà les pages et le contenu à votre FAI. Il ne cache pas les domaines.
2. Activez le DNS chiffré. Dans Chrome, ouvrez Paramètres, puis Confidentialité et sécurité, et activez Utiliser un DNS sécurisé dans la partie Sécurité. Dans Edge et Firefox, cherchez l'option de DNS sécurisé ou de DNS over HTTPS dans les paramètres de confidentialité ou de sécurité, puis choisissez un résolveur de confiance. Sur Android, utilisez le paramètre DNS privé. Sur iPhone, le DNS chiffré demande un profil de configuration ou une application. Cela supprime la liste en clair des requêtes que recevait votre FAI. Faites ensuite le test SNI ci-dessus pour voir si ECH se déclenche.
3. Utilisez un VPN quand vous voulez aussi cacher les noms des sites. Un VPN enferme tout dans un seul tunnel chiffré jusqu'au serveur du VPN, donc votre FAI voit seulement que vous êtes connecté à un VPN et combien de données circulent. Le revers : c'est maintenant l'entreprise du VPN qui est en position de voir où vous allez. Toute la question devient donc celle de l'opérateur, et c'est pour cela qu'un VPN gratuit douteux peut être pire que rien (voici comment les distinguer, en anglais).
4. Utilisez le navigateur Tor pour le plus haut niveau. Tor fait passer le trafic par plusieurs relais, si bien qu'aucun ne sait à la fois qui vous êtes et où vous allez. Il est plus lent, et certains sites le bloquent, mais il cache vos destinations à votre FAI sans vous demander de faire confiance à un seul opérateur.

Aucune de ces solutions ne vous cache au site lui-même. Une fois arrivé, le site voit votre visite, et ses traqueurs voient ce pour quoi ils sont conçus.

Un VPN conçu pour n'avoir rien à remettre

Si vous déplacez votre confiance de votre FAI vers un VPN, choisissez-en un conçu pour ne pas garder ce que gardait votre FAI. Secria VPN ne conserve aucun journal d'activité : nous n'enregistrons ni votre navigation, ni vos requêtes DNS, ni le contenu de votre trafic. Pendant qu'une session est active, nous détenons le compte et l'appareil auxquels elle appartient, le serveur utilisé et l'heure de début, et cet enregistrement disparaît à la fin de la session. Le DNS est résolu sur nos propres serveurs plutôt que confié à un résolveur tiers, les serveurs gardent leur état en RAM, et chaque tunnel WireGuard porte une clé post-quantique ML-KEM-1024, ce qui compte, car votre FAI est exactement le genre d'acteur qui peut stocker aujourd'hui du trafic chiffré et tenter de le déchiffrer plus tard. Il coûte $7.99 par mois seul, ou il est inclus dans Pro.

FAQ

Mon FAI peut-il voir mon historique si j'utilise un VPN ? Non. Avec un VPN activé, votre FAI voit que vous êtes connecté à un serveur VPN, quand, et combien de données circulent, mais pas les sites que vous visitez. Si le VPN laisse fuir le DNS, certains noms de sites peuvent encore passer, alors testez les fuites.

Tor cache-t-il mon historique à mon FAI ? Oui. Votre FAI voit que vous êtes connecté au réseau Tor, quand, et combien de données circulent, mais pas les sites que vous atteignez par son intermédiaire. Seul le trafic du navigateur Tor est couvert ; les autres applications du même appareil se connectent normalement.

Mon FAI peut-il voir ce que je télécharge ? Pour un téléchargement en HTTPS, il voit le site et à peu près la taille du fichier, pas son nom ni son contenu. Les applications pair-à-pair comme BitTorrent, c'est différent : elles vous connectent à de nombreux autres ordinateurs qui voient tous votre adresse IP, et leur trafic est facile à reconnaître.

Le propriétaire du Wi-Fi peut-il aussi voir mon historique ? Il peut voir les sites et les applications auxquels votre appareil se connecte via son routeur, au même niveau du domaine que votre FAI, mais pas les pages ni les recherches en HTTPS. Qu'il en garde une trace dépend du routeur. Notre guide sur ce que voit le propriétaire du Wi-Fi passe en revue les routeurs un par un.