Prix à la tête du client : l’IP Tracking à la portée des sites de vente en ligne

i-tourisme : Qui n’a pas été confronté à ce problème ? Vous surfez sur le net, vous sortez d’un site et quand vous revenez, le prix n’est plus le même. Bien entendu, le yield joue à fond. Quand les stocks diminuent, les prix montent. C’est une pratique admise par les internautes. Mais nous pensons néanmoins que l’IP tracking est une technique aussi utilisée, indépendante des stocks, dont la pratique est sujet à caution. Qu’en pensez-vous ?

Antoine Mussard : "Je n'ai personnellement jamais constaté de tels changements de prix, si ce n'est sur Amazon dans mon panier, que je remplis au fur et mesure régulièrement.

Mais Amazon prévient dès lors en cas de baisse ou de hausse, fidèle à leurs excellents process.

Il faudrait dans un premier temps définir l'IP-tracking et le différencier par exemple de la gestion de cookies, employée par tous les sites web marchand.

Le tracking d'IP est pour moi une technique qui permettrait à un site web e-commerce d'avoir des informations en fonction de l'historique de l'IP du visiteur, susceptibles de faire changer les prix publics en calculant que la probabilité d'achat est supérieure à celle d'un acheteur lambda.

Pour parler de tracking IP, il faut donc dès lors qu'il y ait au moins l'association de 2 sites web et que les durées d'analyse soient assez courtes, car certains fournisseurs d'accès internet changent régulièrement les IP.

C'est le cas d'Orange dont l'adresse IP change tous les 7 jours actuellement.

Il faut donc que les commerçants aient plusieurs sites pour pouvoir ressortir des données de navigation et d'analyse permettant de faire des croisements que des cookies ne peuvent pas toujours gérer entre sites.

Le tracking IP est donc improbable de façon simple.

Par contre, reste à s'interroger sur ceux qui seraient capable avec ces données de faire du tracking IP extrêmement puissant.

La réponse c'est : les outils de mesure d'audience et les fournisseurs d'accès à internet, ces derniers n'ayant bien entendu même pas besoin d'IP, les propriétaires de nombreux sites...

Le problème du tracking IP n'est donc pas là ou on l'attend et les triches supposées sont déjà possibles sans le tracking IP avec les cookies."

i-tourisme : Pour la DGCCRF il n’y a pas d’IP Tracking sur les sites de voyages en France. Quelle analyse faite-vous de cette prise de position ?

Antoine Mussard : "Si l'on part du principe que la DGCCRF et la CNIL ont pu faire du reverse ingeneering sur les codes sources in situ - sachant que ce reverse ingeneering de dizaines/centaines/ milliers de lignes de code nécessitera des jours de travail et au moins un/e analyste hors norme (un/e talentueux/se - on pourrait dès lors être sûrs qu'ils n'ont pas détecté de triche.

Mais comment se fait-il qu'ils ne précisent pas combien de sites web de transport ont été audités ?

Lorsque l'on affirme qu'il n'y a pas de triche, il faut, je pense, donner des éléments statistiques comme pour toutes études sérieuses.

De plus, bloquer/cacher une triche en cas de contrôle sur site, me semble extrêmement simple (scrambling de code, code caché, commande pour désactiver/détruire le code instantanément en cas de contrôle...)

i-tourisme : Techniquement, la DGCCRF et la CNIL ont-elles les moyens de vérifier l’utilisation de l’IP Tracking par les sites ?

Antoine Mussard : "Je ne pense pas. Mais en ont-elles aussi les moyens financiers ?

Les investigations mises en place ont porté sur les codes sources et les prestataires techniques permettant d'améliorer le ciblage.

Mais pour analyser s'il y a de la triche sur tous les sites marchand en matière de transport sur le tracking IP, il aurait fallu faire une analyse automatisée en dehors des sites web en définissant différents profils naturels et en développant des moteurs d'interrogation multi-IP.

Par exemple, PHP/CURL ou équivalent en application Windows/Mac stand alone à installer sur des postes de testeurs variés.

Je doute de plus qu'ils aient eux accès aux données de Google analytics sur les données Analytics stockées, lorsque l'on sait que la SNCF utilise bien entendu Google Analytics.

i-tourisme : Outre l’IP, les sites ont-ils d’autres moyens de tracer l’internaute « en douce » à des fins commerciales ?

Antoine Mussard : "Oui via les cookies, les failles de sécurité et les sociétés tierces qui ont accès à des données massives. Les places de marché sur les reventes de données cookies le font déjà.

Un autre moyen tout simple est la géolocalisation lorsqu'elle est possible (dans + de 85% des cas) et pourquoi pas le type d'ordinateur ou de smartphone pour connaitre le profil financier du visiteurs..."

i-tourisme : De votre point de vue, quelle est la frontière entre une pratique commerciale dite ‘’normale’’ et une manipulation des internautes à des fins commerciales ?

Antoine Mussard : "Je pense qu'il est normal de faire varier des prix en fonction de critères qui ne sont pas liés au consommateur et que tous les consommateurs subissent les prix de la même façon.

Des prix qui changent pour le soir sur des sites web marchand ne me choque pas, si l'on considère que c'est le cas dans tous les secteurs commerciaux

Par exemple une augmentation des prix alimentaires festifs à la veille de Noël.

On parle du web mais la question se pose aussi sur de nombreux autres secteurs d'activités.

Par xemple : les étiquettes de prix électroniques qui sont potentiellement dynamiques car mise à jour à distance.

Lorsque vous aurez du tracking iBeacons et qu'on saura que vous êtes un CSP+ pas trop radin et que vous êtes seul dans un rayon à 5 mètres d'un produit qui vous intéresse. Les esprits chagrins pourraient se dire qu'on peut augmenter le prix le temps de votre passage.

Le tracking IP pourrait poser des problèmes que les pouvoirs publics ne soupçonnent pas actuellement.

Exemple, il est possible actuellement avec une faille RSS/Cache, commesur certains navigateurs, de savoir si une URL a été visitée ou non, couplé ou non à de l'IP tracking cela permettrait par exemple d'ajuster un prix en temps réel en fonction de la concurrence.

Si on va plus loin, on peut connaitre les goûts politique du visiteur, ses mœurs, ses goûts, ses profils anonymes..."

i-tourisme : Nous connaissons les problèmes de rentabilité des sites de ventes. Pensez-vous que ces pratiques "border line" puissent augmenter dans le futur avec le développement de nouvelles techniques ?

Antoine Mussard : "Il est évident que les techniques border line se développeront, pas sur les petits sites web qui se battent avec leur CMS mais surtout sur les gros qui ont une équipe technique avec parfois des passionnés qui seront au fait des technologies.

Dans tous les cas, il faudra regarder avec attention les gros fournisseurs de données qui seront à la base, en dehors des failles de sécurité, de tous les profilages possibles et notamment Google Analytics qui est la mine d'Or de Google et dont on ne parle pas assez.

Avec la base de données de Google Analytics, il serait relativement simple - pour les internautes ayant une ip fixe - de créer une base de données qui pour chaque internaute renverrait :

- Tous les membres de la famille (nom / prénom) (note technique : nom passés par des Get dans les URL)
- Leurs goûts
- Leurs achats
- Leurs activités sociales
- Leur travail
- Leur pays
- Leur santé (via les recherches Google, Google arrivant souvent a prédire avant les réseaux de santé les épidémies par exemple de grippe en fonction des taux de recherche des mots clés).
- Leurs habitudes
- Leurs réseaux sociaux
- S'ils fraudent le fisc
- Leurs maladies
- Leurs mœurs ...

Et je ne parle pas du couplage possible avec Gmail, Android pour de la géolocalisation temps réel.

Avec toutes ces données, vous pourriez obtenir un moteur de recherche mondial de milliards d'individus avec toutes leurs fiches signalétiques bien détaillées par pays.

Ça ne me dérange pas à titre personnel, mais je pense que la CNIL est un organisme essentiel afin d'essayer de contrôler au mieux ces données et surtout s'assurer qu'elles ne tombent pas entre de mauvaises mains.

L'analyse prédictive a de l'avenir."