Application par application, la liste des SDK identifiés chez les éditeurs français

Cliquez sur l’image pour accéder à la base de données :

Qui est Exodus Privacy ?

Afin de collecter des données sur leurs utilisateurs et leurs usages, les éditeurs d’applications y incorporent parfois des pisteurs, des logiciels qui peuvent gérer aussi bien les analytics que la monétisation ou l’envoi de push notifications. Depuis 2017, l’association Exodus Privacy, un groupe d’activistes rassemblé en association, recense grâce une méthode présentée sur Github ceux qui ont été installés dans plus de 56 000 applications Android, le système d’exploitation de Google.

“Nous avons choisi de rendre nos travaux publics afin de contribuer à la transparence de l’écosystème numérique”, expliquait en 2018 à mind Media l’ex-présidente de l’association, Esther Onfroy. L’analyse a toutefois quelques limites : “Nous pouvons parfois ne pas être exhaustifs, car nous ne cherchons que les traqueurs que nous avons préalablement identifiés (près de 200 en avril 2019, ndlr) et nous n’avons pas la prétention de tous les connaître. Enfin, ce n’est pas parce qu’un traqueur est présent dans une application qu’il sera systématiquement utilisé”, prévenait celle qui est aujourd’hui à la tête de l’agence Defensive Lab Agency (lire également l’encadré sur la méthodologie d’Exodus Privacy).

La méthodologie d’Exodus Privacy et les biais possibles

La méthode la plus certaine pour identifier les SDK installés au sein d’une application mobile consiste à en “décompiler” le code, c’est-à-dire reconstituer le code source par de la rétro-ingénierie. Un problème survient ici : cette méthode est illégale si les résultats sont publiés, car le code source relève du droit d’auteur. Exodus Privacy a donc trouvé une autre technique : l’association liste tous les noms des objets Java embarqués dans un APK (collection qui contient tous les fichiers nécessaires à l’installation d’une application sur Android) grâce à l’outil dexdump, fourni par Google. Puis elle compare cette liste avec celle qu’elle détient sur les noms Java des trackers qu’elle a déjà identifiés.

Cette méthode peut comprendre des biais : tous les traqueurs identifiés par Exodus au sein des applications ne sont pas nécessairement utilisés par les éditeurs. Certains peuvent être pré-embarqués par des partenaires, et activés ou non au gré des besoins. En 2018, certains éditeurs nous ont assuré ignorer la présence de certains traqueurs. Ils pourraient avoir été installés par des partenaires tiers sans qu’ils en aient été avertis, ou ils pourraient faire partie d’un code générique utilisé par le prestataire qui a développé l’application. Enfin, Exodus Privacy n’étudie que les applications conçues sous Android, le système d’exploitation de Google.

Si vous avez des commentaires ou un éclairage à apporter, contactez-nous : redaction@mindnews.fr

Explorez nos bases de données établies grâce aux outils Ads.txt Scan et Exodus Privacy dans notre rubrique Research et Data pour rester au fait des tendances du marché