Certains éditeurs ont découvert à cette occasion la présence dans leurs applications de tiers de monétisation avec lesquels ils nous ont assuré, sous couvert d’anonymat, n’avoir jamais signé de contrat. Sollicitée par mind Media, la présidente d’Exodus Privacy, Esther, indique que « depuis que nous avons changé de méthode de détection, début décembre 2017, aucune société qui est venue vers nous pour contester un rapport n’a été à même de prouver que l’on s’est trompé. Nous fournissons un outil qui permet par exemple aux responsables techniques de vérifier leurs applications avant de les proposer sur Google Play. Il est arrivé qu’un éditeur découvre des SDK publicitaires installés dans le code de base utilisé par le prestataire qui a développé son application. » Mais la présence d’un pisteur ne signifie pas nécessairement qu’il soit actif. « Pour prouver l’activité d’un SDK, il faudrait utiliser l’application de façon intensive et exhaustive, avec des cas d’utilisation spécifiques », explique Esther. Par ailleurs, certains SDK peuvent échapper à l’analyse d’Exodus en adoptant un procédé d’offuscation, c’est-à-dire d’obscurcissement de leur code. D’ordinaire utilisé pour protéger les investissements de recherche et développement d’un logiciel, certains acteurs de la publicité en ligne y ont parfois recours pour masquer leur identité.
Le rôle des adservers mobiles et des SDK tiers de monétisation
Pour monétiser leurs audiences dans l’univers applicatif, les éditeurs qui disposent de forces commerciales en interne font généralement appel à des adservers mobiles, comme Google DoubleClick, Smart (utilisé par 56 % des applications de notre panel) ou MoPub (Twitter).