Des SDK publicitaires intégrés à des applis Android peuvent récupérer la position précise par défaut. Un angle mort qui pèse sur la privacy et l’écosystème mobile.
En bref
- Des SDK pub héritent des permissions Android
- La localisation précise peut partir vers des tiers
- L’EFF appelle les développeurs à couper cela
Un réglage par défaut peut suffire. Sur Android, certains SDK publicitaires intégrés dans des applis récupèrent la localisation précise de l’utilisateur dès lors que l’application a obtenu cette permission, même si le développeur n’a pas forcément mesuré la portée du choix.
Le vrai nœud, c’est l’héritage automatique des permissions
C’est le point le plus gênant du dossier remonté par l’Electronic Frontier Foundation, ou EFF. Les morceaux de code tiers ajoutés pour monétiser une appli, les fameux SDK, héritent des autorisations accordées à l’application. Si le développeur ne coupe pas explicitement la collecte, ces SDK peuvent donc aspirer la position précise de l’utilisateur.
L’EFF insiste sur un point très concret. Il n’existe pas de permission de localisation propre au SDK. En gros, l’utilisateur dit oui à l’appli, et cette réponse vaut aussi pour les briques publicitaires embarquées. Pour une industrie qui parle sans cesse de consentement, ça fait quand même tache.
Une monétisation qui déborde très loin de la pub mobile
Le problème ne s’arrête pas à un ciblage publicitaire un peu trop fin. D’après l’EFF, ces historiques de position alimentent des data brokers qui monétisent ensuite l’information. Puis elle circule, jusqu’à être vendue à des gouvernements, des armées ou des services de renseignement comme le FBI.
Et il y a l’autre versant, plus terre à terre. Une base de données de localisation volée ou piratée reste une base de données de localisation, avec un risque sécurité évident. Certains courtiers en données ont déjà connu ce type d’incident.
L’échelle reste partielle, mais elle suffit à inquiéter
L’EFF n’a pas cartographié tout le marché publicitaire mobile. Ses tests ont consisté à analyser le trafic réseau des applications pour voir quels services recevaient les données de position. Méthode simple, mais parlante.
Parmi les applis Android repérées, deux cumulaient à elles seules 60 millions de téléchargements. Bill Budington, technologue senior à l’EFF, précise que les SDK examinés ne représentent qu’une petite part de l’écosystème pub. Sauf qu’ils revendiquent tout de même une portée de milliards d’utilisateurs à travers des dizaines de milliers d’applications. Résultat, on n’est pas sur un coin mort du marché.
Pourquoi ce sujet dépasse la simple conformité
L’EFF demande aux développeurs de désactiver toute collecte inutile dès que possible. Le message vise autant la privacy que la responsabilité produit. Une permission accordée au niveau de l’application ne suffit pas, selon l’organisation, à traduire un accord réellement éclairé pour un partage par des tiers publicitaires.
Pour les éditeurs d’apps, le sujet est simple. Les SDK restent un levier de revenu. Mais laisser la donnée de localisation partir par défaut vers des acteurs tiers, sans visibilité claire, devient un risque produit, réputationnel et business. Et là, vous n’êtes plus dans un simple détail d’implémentation.
