ChatGPT vous piste hors du site : comment désactiver ce traceur
OpenAI associe votre compte ChatGPT à vos visites sur des sites tiers via le cookie __obi. Voici comment le vérifier et bloquer ce pistage publicitaire.
👁 119 lectures
Le site de cybersécurité Niebezpiecznik a mis en lumière le mécanisme publicitaire d’OpenAI : un identifiant associé à votre compte ChatGPT est stocké dans un cookie nommé __obi sur le domaine .openai.com, puis transmis aux sites partenaires ayant souscrit aux offres publicitaires d’OpenAI. Concrètement, une discussion portant sur vos finances ou votre santé peut désormais partager un point de contact technique avec votre navigation sur une boutique en ligne. Vous pouvez le constater vous-même dans votre navigateur et mettre en place des mesures pour vous en prémunir.
Ce que cela implique pour votre vie privée
La technologie n’a rien d’inédit : il s’agit des mêmes pixels de traçage intégrés depuis des années par les sites web pour le compte de Meta ou Google. La nouveauté réside dans la source des données. Les utilisateurs confient à ChatGPT des éléments qu’ils ne partageraient jamais sur un réseau social : des symptômes médicaux, une situation de surendettement ou des litiges juridiques. Selon l’analyse de Niebezpiecznik, OpenAI catégoriserait __obi comme un cookie d’analyse (analytique), ce qui lui permet de continuer à fonctionner même lorsque vous refusez les traceurs marketing sur une bannière de consentement. Votre refus sur le bandeau cookie d’un site tiers peut donc s’avérer sans effet.
La conclusion pratique est claire : si vous abordez des sujets sensibles sur ChatGPT, ne partez plus du principe que cette conversation est hermétiquement séparée de votre navigation sur le web. Non pas parce que le contenu brut de vos échanges est rendu public, mais parce que l’identifiant de votre compte et votre historique de navigation ne sont plus traités de manière cloisonnée.
Comment fonctionne le traçage : trois étapes vérifiables
L’analyse technique met en évidence une chaîne de collecte directe :
- Sur chatgpt.com, un identifiant relié à votre compte est créé et enregistré dans le cookie
__obirattaché au domaine.openai.com, avec l’attributSameSite=Noneet une durée de validité d’un an. L’attributSameSite=Noneest précisément le paramètre qui autorise le navigateur à transmettre ce cookie lors de requêtes vers des sites tiers. - Le site partenaire intègre le SDK publicitaire d’OpenAI, chargé depuis
bzrcdn.openai.com. - Votre navigateur injecte automatiquement le cookie
__obidès la requête de téléchargement de ce script, c’est-à-dire dès votre arrivée sur la page, sans nécessiter la moindre action de votre part.
Ce système reste par ailleurs actif après votre déconnexion : un identifiant anonymisé stable persiste pendant au moins 27 jours. Vous déconnecter de votre compte ChatGPT ne suffit donc pas à neutraliser la passerelle.
Quelles données le SDK collecte-t-il sur les sites partenaires ?
D’après les relevés techniques, le SDK d’OpenAI extrait des informations servant à relier votre identité : données saisies dans les formulaires, texte des pages visitées et variables du gestionnaire de balises (window.dataLayer). Les adresses e-mail et les numéros de téléphone sont hachés en SHA-256, tandis que le pays, la région, la ville et le code postal circulent en clair.
Le hachage d’une adresse e-mail peut sembler protecteur, mais dans l’écosystème publicitaire, il s’agit du standard de réconciliation : une même adresse passée au crible du même algorithme produit rigoureusement la même empreinte numérique, facilitant le croisement de profils entre différentes plateformes. Il s’agit de pseudonymisation, pas d’anonymisation.
Parmi les URL relevées lors de l’étude figuraient des pages dédiées à des bilans de santé, des solutions de rachat de crédit ou des formulaires de signalement d’actions en justice. Si OpenAI applique une liste d’exclusion (mots de passe, numéros de cartes bancaires, antécédents médicaux déclarés), l’adresse URL complète de la page consultée n’en fait pas partie.
Au total, 936 pixels publicitaires ont été repérés sur 1 029 domaines, parmi lesquels la plateforme éducative Coursera. Des questions formelles ont été adressées à OpenAI le 14 septembre : le support a accusé réception du dossier sans apporter de réponse.
L’impact direct de votre navigateur web
L’expérimentation a été réalisée sur Google Chrome sous Android. Sur iPhone, le mécanisme échoue car l’ensemble des navigateurs sous iOS reposent sur le moteur WebKit, qui bloque par défaut les cookies tiers. Votre configuration logicielle a donc ici un impact bien plus fort que vos préférences sur la plateforme.
| Configuration | Fonctionnement du cookie __obi | Conséquence pratique pour vous |
|---|---|---|
| Chrome sur Android | Oui (confirmé par les tests) | Action manuelle requise : blocage tiers, profil séparé ou nettoyage régulier |
| Tout navigateur sur iPhone (moteur WebKit) | Non (cookies tiers bloqués par défaut) | Protection native contre ce mécanisme |
| Chrome / Edge sur ordinateur | Non documenté dans l’analyse | Vérifiez vous-même avec la méthode ci-dessous |
| Firefox / Safari sur ordinateur | Non documenté dans l’analyse | Mécanismes d’isolation natifs présents, mais vérification recommandée |
Précisons que pour les ordinateurs de bureau, l’étude d’origine ne fournit pas de mesure définitive. Il convient de tester vous-même votre installation plutôt que de présumer du résultat.
Le cadre du RGPD : pourquoi votre clic sur la bannière peut échouer
En France, en Belgique et dans toute l’Union européenne, le RGPD et la directive ePrivacy imposent d’obtenir le consentement préalable pour les traceurs non essentiels. Le problème réside dans la qualification juridique : si OpenAI traite __obi comme un traceur technique ou analytique alors que les données sont mobilisées pour le ciblage et la réconciliation d’identifiants, le refus des cookies marketing sur le site visité peut ne pas interrompre l’envoi de ce cookie.
Il s’agit d’une analyse technique des mécanismes en place et non d’une sanction émise par une autorité de protection des données (comme la CNIL en France ou l’APD en Belgique), aucun régulateur n’ayant encore statué officiellement sur ce cas précis.
Pour les éditeurs de sites web, la prudence s’impose : intégrer un script tiers d’OpenAI engage votre responsabilité conjointe sur ce qui s’échappe de vos formulaires et de votre variable dataLayer.
Comment vérifier et bloquer le traçage sur votre appareil
- Vérifiez la présence du cookie : rendez-vous sur chatgpt.com, ouvrez les outils de développement (touche F12), allez dans l’onglet Application ou Stockage, rubrique Cookies, sous le domaine
.openai.com. Cherchez le nom__obi, puis inspectez sa date d’expiration et la valeur de SameSite. - Contrôlez les requêtes vers des sites tiers : dans les outils de développement, ouvrez l’onglet Réseau (Network), visitez un site d’e-commerce d’envergure et appliquez un filtre sur
openaioubzrcdn. Si un appel versbzrcdn.openai.comapparaît, examinez les en-têtes HTTP pour voir siCookie: __obiest transmis. - Ajustez vos paramètres ChatGPT : ouvrez les paramètres de votre compte, inspectez les volets relatifs aux données personnelles et désactivez tout ce qui concerne la personnalisation et les fonctionnalités publicitaires. OpenAI modifie régulièrement l’intitulé de ces menus : vérifiez l’ensemble de la section. Rien n’indique toutefois qu’un réglage interne désactive spécifiquement
__obi. - Cloisonnez votre navigation : utilisez ChatGPT dans un profil de navigateur distinct ou dans un conteneur dédié (comme les Multi-Account Containers de Firefox). Cette séparation reste la solution la plus robuste face aux classifications de cookies.
- Bloquez les cookies tiers : sur Chrome pour Android, rendez-vous dans Paramètres, Confidentialité et sécurité, puis Cookies tiers. Vous pouvez également bloquer le domaine
bzrcdn.openai.comau niveau de votre résolveur DNS ou via un bloqueur de contenu. - Supprimez le cookie et automatisez la purge : supprimez les cookies associés à
openai.comet activez l’effacement automatique des données de navigation à la fermeture. L’identifiant persistant restant actif 27 jours, une simple déconnexion manuelle est insuffisante. - Isolez vos requêtes sensibles : si vous devez aborder des questions de santé, de finances personnelles ou de démarches juridiques, effectuez-les dans une fenêtre de navigation privée dédiée ou depuis un profil strictement séparé.
- Si vous gérez un site web : auditez vos scripts externes, contrôlez les variables transmises dans
window.dataLayeret assurez-vous qu’aucun identifiant (e-mail, téléphone) n’est exposé à des balises externes sans base légale explicite.
Aucun réglage unique ne garantit une neutralisation totale. La meilleure approche repose sur le cloisonnement : un profil dédié pour le chat, le rejet systématique des cookies tiers et la vigilance sur la persistance des sessions.
Source
Niebezpiecznik.pl : ChatGPT sait ce que vous faites sur les boutiques en ligne et suit vos mouvements sur d’autres sites, 21.09.2026. Les informations relatives au volume de pixels, aux domaines concernés, aux paramètres techniques du cookie et à l’absence de réponse d’OpenAI sont issues de cette analyse. Article rédigé le 08.10.2026.
More on this from PROMPTIF
magazine·L’IA va-t-elle tuer le SEO ? La fausse guerre du searchL'IA va-t-elle remplacer le référencement naturel ? Ce duel annoncé masque la vraie mutation : la façon dont les modèles choisissent leurs sources.