La liste des SDK présents dans les applications mobiles des éditeurs français

Qu’est-ce qu’Exodus et comment fonctionne-t-il ?

Pour la deuxième partie de notre étude, consacrée aux applications mobiles, nous nous sommes appuyés sur Exodus, une plateforme d’audit des applications Android, créée en 2017 par l’association Exodus Privacy, “animée par des hacktivistes dont le but est la protection de la vie privée”. 

Pour assurer le bon fonctionnement de leurs applications mobiles, collecter des données sur l’usage de leurs clients, et les monétiser, les éditeurs médias y incorporent parfois des SDK (pour “software development kit”), un ensemble d’outils d’aide à la programmation qui peuvent gérer aussi bien les analytics que le KYC ou l’envoi de push notifications. 

La méthode la plus certaine pour identifier les SDK installés au sein d’une application mobile consiste à en “décompiler” le code, c’est-à-dire reconstituer le code source par de la rétro-ingénierie. Mais cette méthode est illégale si les résultats sont publiés, car le code source relève du droit d’auteur. Exodus Privacy a donc trouvé une autre technique : l’association liste tous les noms des objets Java embarqués dans un APK (collection qui contient tous les fichiers nécessaires à l’installation d’une application sur Android) grâce à l’outil dexdump, fourni par Google. Puis elle compare cette liste avec celle qu’elle détient sur les noms Java des trackers qu’elle a déjà identifiés.

Quelles sont les limites ?
“Nous pouvons parfois ne pas être exhaustifs, car nous ne cherchons que les traqueurs que nous avons préalablement identifiés et nous n’avons pas la prétention de tous les connaître”, indiquait en 2018 à mind Media Esther Onfroy, l’ex-présidente de l’association. La plateforme privée “d’app intelligence” 42matters, récemment rachetée par Similarweb et avec laquelle mind Media a fait deux études en 2020 et 2021, en recense un peu plus de 4 000, contre 432 seulement pour Exodus. Cette différence tient notamment au fait qu’Exodus, qui s’intéresse surtout aux “traqueurs” susceptibles de collecter des données des utilisateurs, fait peu de cas des outils de développement, moins invasifs mais très répandus et très nombreux. En 2020, le fondateur de 42matters Andrea Girardello expliquait à mind Media que ces outils “permettent au créateur de l’application d’y ajouter des briques fonctionnelles, comme des lecteurs multimédias (ExoPlayer), des gestionnaires d’images (Picasso) ou encore des lecteurs de code barre (ZXing), sans qu’il ait à tout développer depuis zéro”.

Cette méthode est aussi susceptible d’afficher des faux-positifs, car tous les SDK identifiés par Exodus au sein des applications ne sont pas nécessairement utilisés activement par les éditeurs. Certains peuvent être pré-embarqués par des partenaires, et activés ou non au gré des besoins. En 2018, certains éditeurs nous ont assuré ignorer la présence de certains SDK. Ils pourraient avoir été installés par des partenaires tiers sans qu’ils en aient été avertis, ou ils pourraient faire partie d’un code générique utilisé par le prestataire qui a développé l’application.

Compte tenu de ces limites, comme pour les sites, nous ne publions que des données agrégées, plutôt que la liste des technologies identifiées application par application.

Comment nous avons récupéré et analysé les données
Nous avons d’abord établi une liste de 174 applications mobiles appartenant aux principaux éditeurs français, qui figurent dans notre propre référentiel des sites et éditeurs français où, pour la plupart des marques média majeures qui possèdent une application, nous avons associé son identifiant Android (handle) et sa famille de presse (PQN, PQR, magazines et hebdos, etc.).

Puis, via l’API d’Exodus, nous avons récupéré deux listes : 

• Celle des 432 SDK connus de lui (avec leur nom, leur description, une ou plusieurs catégories, un site web, etc.). 
• Celle de l’ensemble des rapports générés par Exodus depuis 2017 sur ces 174 applications, dont nous n’avons retenu que les plus récents. Ces rapports contiennent notamment la liste des SDK identifiés dans chaque application. 

Pour classer les SDK par catégories (publicité, analytics, CMP, etc.), comme pour Wappalyzer, nous ne nous sommes pas reposés sur celles établies par Exodus, mais sur celles de notre référentiel adtech – martech. A ce référentiel s’en ajoute un propre aux SDK. 

Nous appuyer sur ces référentiels qui nous sont propres nous permet notamment de nous assurer que la catégorie que nous associons à une technologie est la même pour l’analyse des données des sites via Wappalyzer et celle des applications via Exodus.

Nous avons développé un script Python qui nous a permis d’interroger l’API d’Exodus, de nettoyer et fusionner ces différents référentiels et de faire les analyses. 

Un commentaire, une question ? Contactez-nous : datalab@mind.eu.com

Pour ne pas rater nos articles conduits par les données et la mise à jour de nos ressources, abonnez-vous à notre newsletter data trimestrielle.