Utiq : l’espion qui aimait ma box, et comment je l’ai mis dehors

Sommaire

• Ils ont déplacé la surveillance là où tu ne peux plus la voir
• Trois ans dans ton dos
• Le « consentement », cette blague
• Pourquoi ce silence ?
• La boîte à outils pour mettre l’espion dehors
  • Règle numéro un : refuse les bannières
  • Le Consenthub, l’opt-out officiel (accroche-toi)
  • uBlock Origin, le videur de service
  • Le blocage DNS : la parade pour tous les foyers
  • Le VPN, l’arme lourde
  • Tout devient automatique
  • Si tu as un smartphone Pixel
• Ma colère ? Elle n’est pas tombée
• FAQ :
  • Qu’est-ce qu’Utiq et qui est derrière ?
  • Pourquoi vider le cache ou la navigation privée ne protège pas d’Utiq ?
  • Comment bloquer Utiq efficacement ?
  • Le portail Consenthub d’Utiq fonctionne-t-il vraiment ?
  • Un VPN protège-t-il contre Utiq ?
  • Partager :

Aujourd’hui je suis en colère, et je ne vais pas faire semblant. Bien au contraire. Je t’explique. Comme moi, toi, tu as joué le jeu. Tu as installé un bloqueur. Tu as refusé les cookies tiers, un par un, bannière après bannière, comme un forçat du clic. Tu as même appliqué mon réglage Gmail contre les pixels espions. Tu as fait TOUT ce qu’on te demandait. Et pendant ce temps, en silence, tes propres opérateurs télécoms, ceux que tu paies tous les mois, ont installé un mouchard un étage plus bas. Dans ta box. Sur ta ligne. Là où aucun de tes outils ne peut aller. Ça s’appelle Utiq, ça tourne depuis des mois, et personne, tu m’entends, personne n’a jugé utile de te prévenir. Alors on va le faire ici, et on va le faire fort.

Certains d’entre vous vont râler, je le sais, à cause de la longueur de l’article. Mais c’est comme expliquer comment faire la recette de bœuf bourguignon sans s’attarder sur les différentes opérations pour réussir le plat. Si tu tiens à ta vie privée, c’est le prix à payer pour que je te propose l’article le plus complet possible. Installe-toi, ça mijote longtemps, mais tu repartiras nourri. Et peut-être même en colère.

Ils ont déplacé la surveillance là où tu ne peux plus la voir

Comprends bien la manœuvre, parce qu’elle est brillante, et c’est ça qui me met hors de moi. Pendant des années, la bataille de la vie privée s’est jouée dans ton navigateur. Ton territoire. Tu avais des armes : bloqueurs, réglages, extensions. Le cookie tiers agonise ? Très bien, se sont dit quatre géants des télécoms. Déplaçons le pistage là où l’utilisateur n’a aucun pouvoir : dans le réseau lui-même.

Utiq est une coentreprise fondée par Deutsche Telekom, Orange, Telefónica et Vodafone. En France, Orange, SFR, Bouygues Telecom et Free (pour les box) ont signé. Le principe : tu visites un site partenaire, tu cliques « Accepter » sur une bannière anodine, ton adresse IP file chez Utiq, qui la transmet à ton opérateur, qui la croise avec ton numéro de contrat et fabrique un identifiant : le « consentpass ». Avec ses petits, le « martechpass » et l' »adtechpass », pour le marketing et la pub programmatique.

Relis bien : ton numéro de contrat. Pas un cookie volatile. Pas un identifiant de navigateur. Ton abonnement, celui que tu paies. Celui avec ton nom, prénom et tout le toutim. Comme infos il n’y a pas mieux. N’importe quel voleur en rêverait de faire main basse la-dessus.  Alors, existe-t-il des solutions ? Du genre de vider le cache ? Aucun effet. Navigation privée ? Décorative. Changer de navigateur, d’ordinateur ? L’identifiant te regarde faire, tranquille, tant que tu passes par la même ligne. Et le pompon : toutes les personnes du foyer ayant consenti sur la même connexion héritent du même identifiant. Ton gamin clique « Accepter » sur un site de jeux, et hop, sa navigation vient enrichir la fiche familiale. C’est écrit dans leur propre documentation. Ils n’ont même pas honte, c’est un argument commercial.Imparable. 

Et le meilleur pour la fin : le « Network Signal », la donnée de base que ton opérateur fournit à la machine, est une boîte noire. Son contenu exact n’est pas public. Même la CNIL n’en connaîtrait pas le détail. On te demande de consentir à un truc que le régulateur lui-même ne peut pas inspecter. Consentement éclairé, qu’ils disaient. Éclairé à la bougie, dans une cave, porte fermée. Pendant qu’ils te tiennent le stylo.

Trois ans dans ton dos

Le projet ne date pas d’hier. Il s’appelait TrustPid à sa naissance, lancé commercialement en 2023, arrivé en France en début d’année. Trois ans de déploiement méthodique, discret, appliqué. Plus de 120 sites français équipés, 80 % des foyers dans le périmètre revendiqué, 40 millions d’identifiants déjà générés rien que chez nous. Et le grand public l’a appris comment ? Par un communiqué des opérateurs ? Une enquête d’un grand quotidien ? Un avertissement de la CNIL ? Non. Par le coup de gueule d’un consultant en cybersécurité, Christophe Boutry, sur X, fin mai. Un type seul, avec un clavier.

Le cookie est mort alors ils ont cuisinés une nouvelle merde pour vous traquer 👉

Utiq, c'est un système de tracking qui n'a pas besoin de cookie. Il utilise votre opérateur télécom.

Le site que vous visitez transmet votre IP à Utiq. Utiq la transmet à Orange, SFR ou Bouygues.… https://t.co/tJ064qIgVA

— Christophe Boutry (@Ced_haurus) May 27, 2026

Voilà où on en est : l’infrastructure de surveillance se déploie à l’échelle nationale pendant trois ans, et c’est un tweet qui donne l’alerte. Laisse-moi une seconde pour savourer l’époque.

Le « consentement », cette blague

Alors oui, Utiq va te répondre, la main sur le cœur, que tout repose sur ton consentement explicite. Techniquement exact. Sans ton clic, pas d’identifiant. Et c’est précisément là que je vois rouge, parce que ce consentement est une embuscade. Il est noyé au fin fond de bannières comptant des dizaines, parfois des centaines de « partenaires ». Qui lit ça ? Qui sait que derrière la ligne « Utiq » se cache son propre opérateur télécom, en train de brancher un traceur sur son contrat d’abonné ? Personne. Et ils le savent. Tout le modèle économique repose sur le fait que tu cliques « Accepter » pour lire un article de ta presse régionale sans savoir ce que tu viens de signer.

Vendre ça comme de la « souveraineté européenne face aux GAFAM« , il fallait oser. La souveraineté, ce n’était pas censé être toi, maître de tes données ? Là, on a juste changé le propriétaire du fichier.

Et qu’on ne me sorte pas le refrain du « oui mais Google fait pareil« . Non, justement, et la différence mérite qu’on s’y arrête, parce qu’elle est toute la morale de cette histoire. Google te piste dans une grande salle éclairée : tu sais qu’il est là, tu as un tableau de bord (myaccount.google.com), des interrupteurs pour couper la personnalisation des annonces, des contrôles d’activité rubrique par rubrique, un bouton pour exporter ou effacer tes données. Je ne lui décerne aucune médaille : ces manettes existent parce que des années de régulation et de pression publique les ont imposées, et l’ergonomie te pousse gentiment vers le « oui ». Mais elles existent, elles sont documentées, et tu peux les actionner quand tu veux.

Utiq, lui, te fait signer dans une cave éclairée à la bougie : un consentement enfoui parmi cent partenaires, un opérateur qui ne dit pas son nom, une donnée de base que le régulateur lui-même ne peut pas inspecter, et un guichet de rétractation qui exige que tu baisses tes défenses et qui refuse du monde à l’entrée. Le problème n’a jamais été la collecte en soi, on vit tous avec. Le problème, c’est la collecte sans lumière. Un pisteur avec un interrupteur visible, ça se discute. Un pisteur dont il faut chercher l’interrupteur à tâtons, ça se combat. La firme de Mountain View aurait fait le quart du dixième de la moitié, déjà ses dirigeants seraient promis aux pires châtiments européens. Là….. l’Union Européenne tourne les yeux. Et file droit à la cave souffler sur la bougie pendant que tu signes.

Pourquoi ce silence ?

Et maintenant, la question qui fâche vraiment. Cet article, tu sais d’où il sort ? D’un commentaire de Bernard, lecteur de mychromebook, sous mon papier sur les pixels espions. D’un lecteur. Pas d’une dépêche AFP. Pas d’une alerte institutionnelle. Un lecteur qui pose une question, un consultant qui gueule sur X : voilà l’état du système d’alarme de ce pays.

Compare, et mets les chiffres côte à côte. Criteo se fait épingler pour du ciblage opaque : 40 millions d’euros d’amende de la CNIL, communiqués, articles partout. Google et Android : des milliards d’amendes européennes, des unes, des éditos, des tribunes. Le moindre soubresaut de Chrome déclenche des auditions. Et quand quatre opérateurs fabriquent un traceur soudé à ton contrat, insensible à toutes tes défenses, capable de ficher un foyer entier, avec une boîte noire au cœur du dispositif ? Quatre mots : on suit ça « de près ». L’autorité allemande, elle, s’est saisie du dossier. La nôtre suit. De près. De tellement près qu’on ne l’entend plus. Ni ne la voie. Normal, elle a soufflé sur la bougie.

Je n’accuse personne, je pose des questions, et je te laisse peser les réponses toi-même. Est-ce qu’on hésite à tirer sur un projet drapé dans le drapeau européen, quand l’État est au capital du premier opérateur du pays ? Est-ce que les plus de cent sites qui intègrent Utiq, c’est-à-dire la presse nationale et régionale, ceux-là mêmes dont le métier est de te prévenir, ont une furieuse envie de faire la une sur le traceur qui alimente leurs propres régies ? Quand le chien de garde partage sa gamelle avec ce qu’il est censé surveiller, il aboie moins fort. C’est mécanique. Ce n’est pas un complot, c’est pire : c’est un système où plus personne n’a intérêt à parler. Alors les indépendants s’y collent. Nous. Toi qui lis, moi qui écris, Bernard qui commente.

La boîte à outils pour mettre l’espion dehors

Assez râlé, on contre-attaque. La bête a des faiblesses, et dix minutes suffisent pour la mettre à la porte. Cinq parades, de la plus simple à la plus radicale.

Règle numéro un : refuse les bannières

Systématiquement, religieusement. Pas de clic « Accepter », pas de consentpass. C’est la parade à coût zéro, elle fonctionne à tous les coups, et si un site te rend le refus pénible, tu sais désormais l’estime qu’il te porte. Toutes les autres parades de cette liste sont des filets de sécurité ; celle-ci est la serrure.

Le Consenthub, l’opt-out officiel (accroche-toi)

Sur le papier, consenthub.utiq.com permet de révoquer tes consentements et de bloquer Utiq pour un an, tous sites confondus. Dans la vraie vie, c’est un parcours du combattant. Les erreurs de connexion pleuvent, particulièrement depuis les box et chez Free. Christophe Boutry lui-même, le lanceur d’alerte, raconte ne pas avoir réussi à y accéder. Et tiens-toi bien : Utiq attribue ces échecs à ton bloqueur de pub, ton VPN ou ton Apple Private Relay. Du coup, on te demande de les désactiver pour accéder à la page. Tu as bien lu. Il faut baisser tes défenses pour aller supplier qu’on te laisse tranquille. Cerise : depuis une connexion fixe, tu ne peux même pas consulter la liste des sites où tu as consenti, et c’est assumé dans leur propre FAQ.

Le mode d’emploi qui fonctionne, éprouvé par les lecteurs : passe par ton smartphone en 4G/5G, Wi-Fi coupé, bloqueur désactivé le temps de la manip, active le blocage d’un an, puis rallume tout. Et refais l’opération séparément pour ta box, chaque connexion se gère à part. Note un rappel dans un an, le blocage expire. Et sache qu’un seul clic « Accepter » sur une bannière après coup te réinscrit, et que n’importe quel membre du foyer peut lever le blocage. Une porte de sortie pareille, on dirait qu’elle a été dessinée pour que tu renonces. Et après l’Europe râle quand Google, oublie de mettre un bouton.

uBlock Origin, le videur de service

Il bloque Utiq proprement, malgré les tentatives de camouflage de la société (du CNAME cloaking, un déguisement en sous-domaine du site visité, technique de contrebandier). Sur ton Chromebook, uBlock Origin Lite tient la ligne. Les bricoleurs peuvent renforcer le barrage en ajoutant dans « Mes filtres » les règles ||utiq.com^, ||utiq-aws.net^ et ||utiqLoader.js$script. Important pour attraper le script au vol.

Le blocage DNS : la parade pour tous les foyers

Là, j’ai deux étages pour toi, selon ton équipement. Tu comprends maintenant la longueur de l’article. J’ai essayé de tout imaginer. Pour toi.

L’option sans rien installer, à la portée de tous : changer de DNS. Deux services font le travail gratuitement, avec une différence à connaître. AdGuard DNS public ne demande AUCUNE inscription : tu colles son adresse dans les paramètres et c’est réglé, filtrage anti-traqueurs immédiat avec ses listes standard. NextDNS, cofondé par des Français, demande lui de créer un compte gratuit (300 000 requêtes par mois offertes, largement assez pour un foyer) : en échange, tu reçois une adresse personnelle et un tableau de bord pour choisir tes listes de blocage, dont celles qui traquent le fameux CNAME cloaking. Le premier pour la simplicité immédiate, le second pour le pilotage fin.

La manipulation, identique dans les deux cas. Sur ton Chromebook : Paramètres → Sécurité et confidentialité → Utiliser un DNS sécurisé → Personnalisé, et tu colles l’adresse (https://dns.adguard-dns.com/dns-query pour AdGuard, ou ton adresse personnelle NextDNS). Sur Android : Paramètres → Réseau et Internet → DNS privé → Nom d’hôte du fournisseur (dns.adguard-dns.com pour AdGuard, ou tonidentifiant.dns.nextdns.io). Une minute par appareil, aucun matériel, et une bonne partie des traqueurs du web tombe en prime, pas seulement Utiq.

Et ta box, alors ? Puisque changer le DNS directement dedans couvrirait tout le foyer d’un coup, la question est légitime. La réponse dépend de ton opérateur, et savoure l’ironie.

1. Free : oui, sans problème, Freebox OS → Paramètres → Mode avancé → DHCP, cinq champs DNS t’attendent.
2. Bouygues : possible, mais le chemin est tortueux et certains modèles récents grisent les champs.
3. SFR : loterie selon le modèle et le firmware.
4. Orange : verrouillé, tout simplement, depuis la Livebox 4 de 2016, aucune option officielle. Résumons : les opérateurs qui ont fondé ou rejoint Utiq sont aussi ceux qui décident si tu as le droit de changer de DNS sur ta propre box. Je ne dis rien, je constate.

L’option des équipés, enfin : si tu as un Pi-hole ou un AdGuard Home sur ton réseau local, toute la maison est protégée en deux minutes, télé connectée comprise. Voici les domaines à bloquer, relevés par les limiers de la communauté :

Dans Pi-hole : Domains → onglet Domain, colle chaque domaine en cochant « Add domain as wildcard » pour couvrir aussi les sous-domaines. Dans AdGuard Home : Filtres → Règles de filtrage personnalisées, avec les règles ||utiq.com^ et ||utiq-aws.net^.

Deux précisions d’artisan, valables pour tous les étages : fais d’abord ta demande de blocage sur le Consenthub AVANT d’activer ces règles, sinon tu te bloques toi-même l’accès au portail. Et sache que le blocage DNS, quel qu’il soit, attrape la grande majorité des implémentations actuelles mais pas les rares intégrations entièrement côté serveur, sans domaine Utiq visible. Pour celles-là, seul le refus de la bannière protège. D’où la règle numéro un, toujours et encore.

Le VPN, l’arme lourde

Tout le système repose sur la lecture de ton IP réelle par ton opérateur. Masque-la dans un tunnel chiffré, et Utiq devient aveugle. Radical, imparable.

Et là, permets-moi une recommandation qui change des éternels VPN commerciaux. Le VPN de FDN, French Data Network, le plus ancien fournisseur d’accès associatif de France, né en 1992, avant même que la plupart des Français sachent ce qu’était Internet. Pour environ six euros par mois, tu obtiens un tunnel chiffré avec une adresse IP publique fixe (un luxe pour l’auto-hébergement), pas de bridage, pas de revente de données, et une association transparente qui publie ses comptes et se bat depuis trente ans pour la neutralité du Net. C’est du VPN sans marketing, géré par des bénévoles qui savent ce qu’ils font.

Et il y a une élégance particulière à ce choix dans notre affaire. Utiq, c’est le pistage industrialisé par les quatre plus gros opérateurs du continent. FDN, c’est l’exact contre-modèle : un fournisseur associatif, militant, où l’abonné est un adhérent avec voix au chapitre, pas une ligne dans un fichier marketing. Sortir du radar des géants en passant par une structure qui défend tes libertés numériques depuis avant le Web, ce n’est pas juste une parade technique, c’est un bulletin de vote. Six euros par mois pour financer le camp d’en face, on a vu des dépenses militantes moins efficaces.

Une nuance quand même, en artisan honnête : l’IP fixe de FDN devient elle-même un identifiant stable aux yeux des sites. Rien de comparable au fichage par contrat d’abonné d’Utiq, mais si ton objectif est l’anonymat maximal plutôt que la sortie du système opérateur, un VPN à IP partagées ou tournantes sera plus adapté. Pour notre affaire du jour, FDN fait parfaitement le travail.

Tout devient automatique

Et pour les utilisateurs de Chromebook ou de Chromebox, le bonus maison, testé sur ma propre machine : le tunnel peut se lancer tout seul à chaque démarrage, sans script ni bidouille. Installe l’application Android OpenVPN Connect depuis le Play Store, importe le fichier .ovpn fourni par FDN, et vérifie que la connexion monte. Détail qui évite dix minutes de perplexité : bascule bien le sélecteur de connexion DANS l’application OpenVPN Connect elle-même, c’est lui qui arme le profil. Sans ça, le réglage système qui suit appellera un tunnel qui ne répond pas. Ensuite, le réglage magique se cache dans la couche Android : Paramètres → Applications → Google Play Store → Gérer les préférences Android → Réseau et Internet → VPN → roue dentée à côté d’OpenVPN Connect → active « VPN toujours activé ». Redémarre, patiente quelques secondes, et vérifie sur ifconfig.me que l’adresse affichée est bien celle de FDN. À partir de là, ta machine navigue protégée dès le réveil, tout le trafic passe par le tunnel, Chrome, Android et Linux compris. Élégance supplémentaire : dans les paramètres réseau de la connexion VPN, tu peux renseigner en serveurs de noms personnalisés les DNS de FDN (80.67.169.12 et 80.67.169.40), et la boucle militante est bouclée du tunnel jusqu’à la résolution des noms.

Si tu as un smartphone Pixel

Tu as un smartphone Pixel ? Pas de souci, tu lances l’outil VPN que t’offre Google. Voici la liste complète des Pixel ou il peut fonctionner : Pixel 7, 7 Pro, 7a, Pixel Fold, Pixel Tablet, toute la série 8 (8, 8 Pro, 8a). Toute la série 9 (9, 9 Pro, 9 Pro XL, 9 Pro Fold, 9a) et toute la série 10 (10, 10 Pro, 10 Pro XL, 10 Pro Fold, 10a). Et note au passage les limites déjà connues du service : pas de choix du pays de sortie, pas de split tunneling. Pour Utiq, on l’a dit, il suffit largement. Pour le reste, FDN garde l’avantage moral et toi le contrôle.

Ma colère ? Elle n’est pas tombée

Utiq ne fait pas du piratage. C’est pire. C’est légal, organisé, financé par tes propres fournisseurs d’accès, enrobé dans un storytelling de souveraineté, et déployé dans un silence institutionnel et médiatique qui devrait tous nous glacer. Tes opérateurs détenaient tes données d’abonné. Ils ont décidé de les monétiser, et ils comptaient sur ta fatigue du consentement pour que ça passe crème.

Et savoure le plus beau : c’est TOI qui finances tout ça. Chez Google, au moins, le marché tacite est connu depuis vingt ans : service gratuit contre données, chacun sait ce qu’il signe. Ici, non. Tu paies déjà ton abonnement plein tarif tous les mois, trente, quarante, cinquante euros prélevés sans faute. C’est ce même argent qui entretient le réseau, le réseau qui fabrique l’identifiant, l’identifiant qui se vend aux annonceurs. Tu es le client qui paie, le produit qui se vend, et le financeur involontaire de sa propre surveillance. La double caisse, en somme : une fois à l’abonnement, une fois à la régie. Il fallait y penser. C’est le second effet Kiss Cool, mais la fraîcheur en moins. Et le coup de fusil assuré. Dans la cave. Après qu’ils ont soufflé sur la bougie.

Ça ne passera pas crème. Refuse par défaut. Bloque sur le Consenthub. Garde ton bloqueur affûté. Dix minutes ce soir, et l’espion dort dehors. Et préviens autour de toi : partage cet article, explique à tes parents, à tes gamins, au voisin. Puisque l’alerte ne descend pas d’en haut, elle montera d’en bas. Quant à la CNIL, le jour où elle sortira de sa réserve, je serai là pour te le raconter. Et si elle n’en sort pas, je serai là aussi. Je surveille les surveillants, c’est mon boulot, et en ce moment il y a du monde à surveiller.

FAQ :

Qu’est-ce qu’Utiq et qui est derrière ?

Utiq est une technologie de pistage publicitaire créée par quatre opérateurs télécoms européens : Orange, Deutsche Telekom, Telefónica et Vodafone. En France, Orange, SFR, Bouygues Telecom et Free (pour les box) participent. Après un clic sur « Accepter », votre adresse IP est croisée avec votre contrat d’abonné pour générer un identifiant publicitaire appelé consentpass.

Pourquoi vider le cache ou la navigation privée ne protège pas d’Utiq ?

Parce que l’identifiant n’est pas stocké dans votre navigateur mais généré au niveau du réseau, à partir de votre connexion internet. Il survit au vidage de cache, au changement de navigateur et au mode incognito, et peut s’appliquer à tout le foyer utilisant la même box.

Comment bloquer Utiq efficacement ?

La parade la plus fiable est de refuser les bannières de consentement sur les sites partenaires. En complément : bloquer la technologie pour un an sur consenthub.utiq.com, utiliser uBlock Origin, configurer un DNS filtrant comme AdGuard DNS ou NextDNS, bloquer les domaines Utiq sur un Pi-hole ou AdGuard Home, ou passer par un VPN qui masque l’adresse IP réelle.

Le portail Consenthub d’Utiq fonctionne-t-il vraiment ?

Difficilement. De nombreux utilisateurs rapportent des erreurs de connexion, surtout depuis les box et chez Free, et Utiq demande de désactiver bloqueur de publicité, VPN ou Private Relay pour y accéder. La méthode qui fonctionne : s’y connecter depuis un smartphone en 4G/5G, Wi-Fi coupé, activer le blocage d’un an, puis répéter l’opération pour chaque connexion. Le blocage expire après un an.

Un VPN protège-t-il contre Utiq ?

Oui, c’est la parade la plus radicale : le système repose sur la lecture de votre adresse IP réelle par votre opérateur, qu’un tunnel chiffré masque complètement. Un VPN associatif comme celui de FDN, autour de six euros par mois, fait parfaitement le travail, et peut se lancer automatiquement au démarrage d’un Chromebook via OpenVPN Connect.