Avec les "signaux résilients" de Facebook, la surveillance publicitaire évolue

Où comment Facebook contourne vos protections contre le tracking, avec la complicité des annonceurs

Publié par Pixel de Tracking le 3 août 2021

La publicité, le produit de Facebook

Les résultats financiers de Facebook sont limpides, plus de 98% de ses revenus proviennent de la publicité. Facebook dispose ici de 2 leviers de croissance :

  • Augmenter l'offre : à savoir, proposer plus d'opportunités publicitaires aux annonceurs.
  • Augmenter la demande : à savoir, convaincre les annonceurs existants d'augmenter leurs budgets publicitaires, et signer de nouveaux annonceurs.

Augmenter l'offre : votre temps de cerveau disponible

Le moyen le plus direct d'augmenter l'offre publicitaire est d'acquérir de nouveaux utilisateurs. Comme l'indique ce mémo interne, Facebook a appliqué cette stratégie de croissance à tout prix, à l'extrême :

That can be bad if they make it negative. Maybe it costs a life by exposing someone to bullies. Maybe someone dies in a terrorist attack coordinated on our tools.

[...] The ugly truth is that we believe in connecting people so deeply that anything that allows us to connect more people more often is de facto good. It is perhaps the only area where the metrics do tell the true story as far as we are concerned.

Autre levier, se diversifier via le rachat d'applications existantes. En 2012, Facebook a ainsi racheté Instagram, ses utilisateurs et son savoir-faire :

instagram

Zuckerberg sur le rachat d'Instagram : Facebook s'achète du temps, afin d'incorporer dans ses Apps les mécanismes de croissance d'Instagram (à l'époque en avance sur le mobile et sur les photos).

L'augmentation de l'offre publicitaire passe également par la monétisation de l'inventaire de tiers : Facebook propose aux Apps d'utiliser son ad-network, le "Facebook Audience Network", contre une commission. À noter que la monétisation de l'inventaire de tiers dépend de la capacité de lire les données Facebook de l'utilisateur, et c'est sans doute une des raisons qui ont poussé Facebook à fermer son ad-network sur le web mobile. Via Intelligent Tracking Prevention (ITP), les utilisateurs de Safari ont des protections contre le tracking de Facebook sur des sites tiers.

Avoir des milliards d'utilisateurs sur Facebook ou Instagram ne suffit pas, il faut les rendre dépendants, quel qu'en soit le coût. Voici un bon résumé de Robin Kelly, sénateur américain de l'Illinois :

The business model for your platforms is quite simple: keep users engaged. The more time people spend on social media, the more data harvested and targeted ads sold. To build that engagement, social media platforms amplify content that gets attention. That can be cat videos or vacation pictures, but too often it means content that’s incendiary, contains conspiracy theories or violence. Algorithms on the platforms can actively funnel users from the mainstream to the fringe, subjecting users to more extreme content, all to maintain user engagement.

Dernier levier, afficher toujours de publicités (en comparaison avec les publications de vos amis et des pages que vous suivez). Si vous êtes encore sur Instagram, vous avez pu noter l'invasion progressive des publicités dans votre fil et dans les stories. Instagram s'est mis au diapason de Facebook, et nous sommes probablement arrivés au point de saturation. Même si Facebook et Instagram n'ont pas vraiment de concurrents, la pression publicitaire est à son maximum.

Augmenter la demande : consumérisme et propagande

Proposer de nombreuses opportunités publicitaires ne suffit pas, encore faut-il convaincre les annonceurs de l'efficacité de la publicité sur les applis Facebook et sur son réseau de partenaires. Facebook a plusieurs points forts : sa capacité à cibler une grande partie de la population, à différents moments de la journée, ses critères de ciblages multiples ainsi que ses formats publicitaires "natifs". Mais le point clé est la rentabilité : Facebook doit prouver qu'il fait gagner de l'argent aux annonceurs, et non l'inverse.

Comment Facebook optimise-t-il une campagne publicitaire ? Voici un process standard :

  1. En démarrant la campagne publicitaire sans ciblage à priori : cela permet de toucher des utilisateurs et de tester les messages publicitaires.
  2. Puis en observant les conversions : afin de comprendre les caractéristiques des utilisateurs qui atteignent l'objectif de l'annonceur, les messages publicitaires les plus efficaces, le meilleur moment et le meilleur contexte pour diffuser la publicité, etc.
  3. Enfin en ciblant les utilisateurs similaires : les "lookalikes" ou "audiences similaires" dans le jargon de l'adtech.

Ainsi, l'efficacité des campagnes publicitaires de Facebook est étroitement liée aux informations qu'il détient sur ses utilisateurs ainsi qu'à sa capacité à mesurer correctement les conversions.

manager

Par défaut, l'annonceur indique son but, son budget et son message, l'algorithme de Facebook gère le ciblage automatiquement.

Assez souvent, Facebook connaît à l'avance le type d'utilisateurs à cibler car l'annonceur lui a transmis une liste de clients appelée "audience personnalisée" et lui a demandé de cibler des utilisateurs similaires.

audience

L'annonceur peut laisser Facebook trouver les bonnes audiences ou uploader une "audience personnalisée" ou renseigner manuellement des critères de ciblage. Il verra instantanément une estimation du nombre de personnes touchées.

Cela peut paraître presque innocent dit comme cela, mais le ciblage Facebook a contribué à la victoire de Trump en 2016. L'algorithme de Facebook ne se contente pas d'optimiser les campagnes publicitaires, il favorise également la diffusion de propagande à grande échelle et représente donc une menace sérieuse pour les démocraties.

Facebook vous espionne, partout

Sur ses applications

Le grand public connaît l'application Facebook. Mais celui-ci est également propriétaire des applications Instagram et WhatsApp, qui font partie des applications les plus utilisées au monde. Facebook a également un pied dans le futur avec Oculus, sa plateforme de réalité virtuelle, sur laquelle il aimerait d'ailleurs bien diffuser de la publicité. Chacune de vos interactions y est exploitée pour vous rendre dépendant et monétiser votre attention.

Ici , vous pouvez supprimer vos comptes Facebook et Instagram, faire migrer vos contacts de WhatsApp vers Signal, et ne pas acheter de casque Oculus. Un piège pour Facebook et Instagram, il ne vous faudra pas simplement désactiver vos comptes mais bien les supprimer.

Partout ailleurs

Ce que le grand public ignore, c'est que Facebook vous espionne aussi ailleurs. La liste des outils mis à la disposition de tiers est longue comme le bras, et ceux-ci sont fournis avec une contrepartie, permettre à Facebook de collecter toujours plus d'informations sur vous, pour son propre usage.

Voici quelques exemples, non exhaustifs :

La plupart des sites et applications utilisent au moins un des outils de Facebook. Et comme l'on vous demande rarement votre avis, Facebook est souvent au courant de ce que vous faites, ceci même si vous n'avez pas de compte Facebook ou Instagram. La publicité vidéo d'Apple pour l'App Tracking Transparency est une bonne illustration du côté invasif de Facebook.

Depuis début 2020 et en réaction à de multiples scandales, Facebook permet à ses utilisateurs de prendre conscience de l'activité "en dehors de Facebook" et de la dissocier de leurs comptes :

offsite

Ne vous laissez pas abuser par la propagande de Facebook, "parfois" signifie "en général".

Dissocier l'activité ne veut pas dire la supprimer des serveurs de Facebook... La firme conserve bien toutes vos interactions mais ne les associent plus à votre compte. À noter que Facebook ne vous facilitera pas la tâche : pour dissocier vos activités, il vous faudra :

Ce serait trop beau si c'était un peu plus visible et en une seule étape... Comme sur votre compte Google par exemple :

history

Google, l'autre big browser, vous facilite un peu plus la vie.

Bien évidemment, ni Facebook (ni Google) ne supprime votre activité, celle-ci a une trop grande valeur. Il s'agit simplement de ne plus l'associer à votre compte.

Et si vous n'avez pas de compte Facebook ni Instagram ? Facebook vous surveille quand même, il a vos coordonnées via les carnets d'adresses qu'il a pu aspirer chez vos amis, il conserve précieusement vos activités sur le web, dans les apps et hors ligne. Quel intérêt pour son modèle publicitaire ?

  • Facebook mesure l'impact de ses publicités en comparant les taux de conversion entre les personnes exposées à la publicité et les personnes non exposées.
  • Vous pourriez être exposé aux publicités du Facebook Audience Network sur des applis tierces.
  • Plus généralement, votre comportement permet à l'algorithme de Facebook d'améliorer ses modèles prédictifs.

Une surveillance en danger

Les internautes étant de plus en plus sensibilisés à la protection de la vie privée, la surveillance hors applis Facebook devient plus difficile. Nous allons étudier comment Facebook s'adapte et communique auprès des annonceurs, via le livre blanc "Why you should leverage Facebook's resilient signals", co-écrit avec l'agence française Fifty-Five.

Pourquoi communiquer auprès des annonceurs ? Facebook a besoin de complices pour vous surveiller hors de son App, les annonceurs doivent correctement utiliser les outils mis à disposition par Facebook pour que vos données personnelles remontent correctement et de manière durable (les fameux "signaux résilients") vers l'ogre de Menlo Park.

Tout d'abord, pourquoi est-ce que la surveillance de Facebook hors de ses applis serait en danger ? Pour 3 raisons selon Facebook et Fifty-Five :

crumble

Quel impact pour les campagnes publicitaires des annonceurs ?

impact

Les traceurs actuels de Facebook, pixels et autres SDKs, des signaux peu résilients. On voit également l'opportunité pour Facebook d'étendre sa surveillance à ce que vous faites hors ligne.

Comme on peut le voir :

  • Facebook peut continuer à mesurer ce que vous faites sur ses applis (Facebook, Instagram).
  • Facebook a du mal à mesurer ce que vous faites sur les sites et applis des annonceurs : en raison des protections navigateurs et autres adblockers, les anciens traceurs Facebook sont de moins en moins efficaces.
  • Facebook n'a qu'une vue très partielle de ce que vous faites hors ligne.

En quoi cette vision partielle est-elle problématique pour les annonceurs ? Ici Facebook et Fifty-Five doivent expliquer en quoi la surveillance généralisée serait nécessaire :

precise

Ici, Facebook tente de vous rassurer avec des critères de ciblage très génériques. En réalité, votre profil publicitaire est incroyablement plus détaillé.

La mesure de la performance publicitaire est essentielle. Si Facebook a accès à moins de conversions (achats, inscriptions, installations...), son algorithme aura moins d'informations sur les critères qui fonctionnent (profils utilisateurs, message publicitaire, contexte publicitaire), ce qui diminuera l'efficacité de sa publicité. L'annonceur devra potentiellement payer plus cher pour un résultat moindre.

Comment faire peur aux annonceurs ? S'ils ne permettent pas à Facebook de vous surveiller suffisamment bien, leurs campagnes publicitaires ne fonctionneront plus correctement :

feat

Des "trous" dans la mesure chez les annonceurs ? Une catastrophe selon Facebook...

Si l'annonceur ne comblent pas ces "trous" de mesure, voici les conséquences :

  • Moins de conversions attribuées à Facebook : certaines conversions ne seront pas mesurées, le reporting montrera des campagnes publicitaires moins efficaces qu'elles ne le sont en réalité, avec un coût d'acquisition client plus important.
  • Une campagne publicitaire réellement moins efficace : Facebook aura moins d'informations pour optimiser la campagne.
  • Une information imparfaite : la conséquence, l'annonceur doutera du reporting d'éventuelles futures campagnes publicitaires.

Les "signaux résilients", où comment Facebook contourne vos protections

Comment Facebook permet-il aux annonceurs de combler ces "trous" ? Via ce qu'il appelle les "signaux résilients" :

resilient

Avec votre adblocker, vous pensiez être protégé de la surveillance invasive de Facebook ? Erreur...

Avec la complicité des annonceurs, voici comment Facebook contourne vos protections :

Lorsqu'Apple l'y contraint, des publicités Facebook plus respectueuses de votre vie privée

L'outil de mesure agrégée des évènements (aussi appelé AEM) : permet à Facebook de mesurer l'efficacité des campagnes publicitaires de manière agrégée (256 campagnes publicitaires maximum, pas de suivi individuel) lorsque l'utilisateur a refusé le tracking Facebook ou Instagram sur iOS (via ATT). C'est un outil inspiré de la solution d'Apple, WebKit Private Click Measurement ou PCM, et c'est l'unique solution respectueuse de la vie privée proposée par Facebook.

Vous pourriez être surpris connaissant Facebook : pourquoi ne pas surveiller sur le web les utilisateurs d'iOS qui ont refusé le tracking sur les Apps Facebook ou Instagram ? Parce que dans ses directives pour les développeurs d'applications, Apple est très clair :

Tracking refers to the act of linking user or device data collected from your app with user or device data collected from other companies’ apps, websites, or offline properties for targeted advertising or advertising measurement purposes

Si Facebook violait cette règle, il prendrait le risque de se faire expulser de l'App Store. Vous pouvez approfondir le sujet avec l'article "Understanding Facebook’s updated iOS14 advertising guidance".

Et pourquoi n'avoir pas directement utilisé PCM ? Mystère, Facebook déclare seulement :

Notre solution est semblable à l’outil privé de mesure des clics d’Apple. Toutefois, elle répond à certains cas d’utilisation clés par les annonceurs non pris en compte par Apple.

Notez que si vous refusez le tracking Facebook ou Instagram via la fenêtre iOS ATT, Facebook déclare répercuter ce choix dans le traitement des évènements envoyés via l'API Conversion :

Les évènements envoyés à Facebook via l’API Conversions seront également traités conformément aux limites définies par l’outil de mesure agrégée des évènements.

Comment Facebook traite-t-il les évènements des autres "signaux résilients" (la correspondance avancée et les conversions hors ligne) ? Mystère...

À noter que Facebook peut également être source de propositions lorsqu'il s'agit de proposer des standards publicitaires qui respectent mieux la vie privée. Certaines discussions entre ingénieurs d'Apple et de Facebook (à savoir John Wilander et Ben Savage) permettent parfois de dépasser le conflit Apple vs Facebook, avec des propositions permettant de répondre à des cas d'usages publicitaires, tout en préservant la vie privée des internautes :

Les évolutions des navigateurs afin de mieux protéger la vie privée sont discutées au sein du "Privacy Community Group" du W3C, l'organisme chargé de co-construire les standards du web. Facebook joue donc ici son rôle, tenter d'influer sur les évolutions des navigateurs afin de limiter l'impact sur son business publicitaire. Et pour cela, Facebook doit être crédible auprès des ingénieurs d'Apple, de Firefox ou de Brave. Ceux-ci ont pour premier principe le respect de la vie privée des internautes (les ingénieurs Chrome ont souvent le biais publicitaire de Google).

Sur le sujet du W3C et de cette guerre d'influence, lisez l'excellent article "Concern trolls and power grabs: Inside Big Tech’s angry, geeky, often petty war for your privacy".

Les contournements illustrés, exemples de campagnes publicitaires

Afin d'illustrer l'impact des "signaux résilients", Facebook et Fifty-Five donnent 2 exemples.

L'utilisateur voit une publicité mais ne clique pas

Premier cas, l'utilisateur voit une publicité sur Facebook, ne clique pas dessus, mais va ensuite sur le site de l'annonceur pour compléter un formulaire. Il sera rappelé par un centre d'appel, pour finalement s'inscrire.

exemple1

Vu que le navigateur (Safari ou Firefox par exemple) de cet utilisateur bloque les cookies tiers de Facebook, le traceur de Facebook (pixel) ne peut pas lire l'identifiant utilisateur Facebook sur le site de l'annonceur. Facebook n'est donc pas capable de faire le lien entre l'exposition publicitaire de l'utilisateur et son surf sur le site de l'annonceur.

Mais lorsque l'utilisateur remplit le formulaire, l'annonceur est capable d'appeler l'API Conversion ou la correspondance avancée pour le web. Il peut ainsi envoyer à Facebook les données personnelles d'identification du formulaire (nom, adresse email, numéro de téléphone, etc) et celui-ci peut ainsi faire le lien avec le compte de l'utilisateur. De même, après inscription de l'utilisateur via téléphone, l'annonceur utilisera l'API Conversion pour transmettre l'inscription à Facebook.

L'utilisateur clique sur une publicité

Deuxième cas, l'utilisateur est sur Safari, il clique sur une publicité Facebook, puis il consulte une page produit de l'annonceur 8 jours après pour enfin acheter hors ligne.

exemple2

Lorsque l'utilisateur clique sur la publicité Facebook, celui-ci parvient à déposer un cookie first-party sur le site de l'annonceur. Le Facebook pixel installé sur le site de l'annonceur récupère en effet l'identifiant de clic fbclid contenu en paramètre d'URL, et le stocke dans le cookie first-party _fbc. Notons que Safari pourrait très bien supprimer ces paramètres de tracking, comme le fait déjà Brave depuis l'année dernière.

Depuis 2019 et la mise à jour ITP 2.1, Safari supprime les cookies créés côté client au bout de 7 jours (ici le cookie _fbc créé par le Facebook pixel). Lorsque l'utilisateur consulte la page produit de l'annonceur après 8 jours, Facebook ne peut plus faire le lien avec son clic initial, il ne reconnaît pas l'utilisateur.

Le contournement est indiqué par Facebook et Fifty-Five : le pré-requis est de passer par du serveur-side tagging comme celui de Google Tag Manager, ce qui permet de créer un cookie HTTP via le header HTTP Set-Cookie et ainsi de contourner la durée de vie à 7 jours des cookies clients.

L'étape suivante est de configurer l'API Conversions pour fonctionner avec Google Tag Manager, action déjà très bien documentée par Facebook et par Simo Ahava.

Ainsi lorsque l'utilisateur consulte la page produit, Google Tag Manager est appelé avec un cookie first-party permanent, le mapping avec l'identifiant de clic fbclic est bien enregistré et le containeur serveur de Google Tag Manager peut correctement appeler l'API Conversions de Facebook pour transmettre les informations. "Bénéfice" supplémentaire : le contournement des adblockers ! Ensuite, lorsque l'utilisateur achète en magasin, l'annonceur utilise l'outil de conversions hors ligne pour transmettre à Facebook les achats de l'utilisateur.

Les antisèches de la surveillance

Pour pousser les annonceurs à adopter ses "signaux résilients", Facebook a profité du remarquable travail de Fifty-Five. Le livre blanc contient ainsi des fiches récapitulatives de chaque "signal".

ecosystem

Un récapitulatif des différents "signaux résilients".

L'API Conversions

Voici l'antisèche pour l'équipe marketing :

capi

Facebook et Fifty-Five conseillent d'installer l'API Conversions en parallèle du pixel Facebook, et donc de collecter les évènements à la fois côté client et serveur.

L'API Conversion permet ainsi de contourner les protections de navigateurs tels que Safari (limite à 7 jours sur les cookies créés en javascript). Elle permet également de contourner les adblockers lorsqu'elle est utilisée conjointement avec du serveur-side tagging. Cette API permet finalement de transmettre des informations hors ligne, telles que le scoring utilisateur.

Voici l'antisèche pour l'équipe technique :

capi2

On note en particulier le conseil suivant : "CAPI is a way to secure data for sensitive sector (Bank, Insurance, ...)". Et oui, vos données bancaires ou d'assurance fuitent vers Facebook, mais ne vous inquiétez pas, la connexion est sécurisée ! Encore une fois, tout est fait pour faciliter la fuite de toutes vos interactions, notamment via les intégrations natives :

  • Tag Managers pour vos interactions avec le site de l'annonceur
  • Plateformes eCommerce, CRM et Customer Data Platforms pour vos achats et interactions hors-ligne.

Mise en avant d'une intégration native au Tag Manager de Google :

server

L'intégration de l'API Conversions avec le Server-Side Tagging de Google Tag Manager est mise en avant par Facebook, comme l'indique Simo Ahava.

La correspondance avancée

Voici l'antisèche pour l'équipe marketing :

correspondance1

Cette option permet de contourner le blocage des cookies tiers par les navigateurs, et de fuiter vos données personnelles même si vous n'avez jamais cliqué sur une publicité Facebook. En effet, l'annonceur envoie à Facebook vos données personnelles d'identification, ce qui permet à celui-ci de faire le lien avec votre compte Facebook.

On note dans les limitations :

  • "Although cookie-less, it is key you collect consent from users" : Facebook et Fifty-Five considèrent-ils que votre consentement n'est pas nécessaire avec les autres "signaux résilients" ?
  • "If you work in sensitive sectors such as Banking, a heavier setup is required" : il faut alors passer par la correspondance avancée manuelle et non automatique, à savoir configurer soi-même le pixel (IMG) permettant d'envoyer les données personnelles d'identification plutôt que de laisser le pixel Facebook (javascript) récupérer automatiquement les bons champs du formulaire.

Voici l'antisèche pour l'équipe technique :

correspondance2

Rien de nouveau, si ce n'est le rappel qu'il faut utiliser la correspondance avancée manuelle pour les secteurs "sensibles".

Les conversions hors-ligne

Voici l'antisèche pour l'équipe marketing :

offline1

Encore rien de nouveau, seulement le constat que la surveillance continue hors-ligne, elle s'appuie sur vos données personnelles d'identification (nom, email, numéro de téléphone, etc).

Voici l'antisèche pour l'équipe technique :

offline2

On peut de nouveau noter le fait qu'il est possible pour l'annonceur d'importer les conversions hors ligne par lui-même, ou de passer par un des nombreux partenaires de Facebook. Le capitalisme de surveillance de Facebook fonctionne grâce à un vaste écosystème.

L'outil de mesure agrégée des évènements (AEM)

Voici l'antisèche pour l'équipe marketing :

aem

Ce paramétrage permet à l'annonceur et à Facebook de "limiter la casse" sur les utilisateurs iOS refusant le tracking. Facebook remonte des informations de performances agrégées, ce qui lui permet d'optimiser les campagnes publicitaires.

À noter que Facebook peut très bien apprendre des campagnes qui tournent sur Android et sur les utilisateurs iOS acceptant le tracking pour mieux comprendre ce qui marche, ce qui ne marche pas (profils utilisateurs et messages publicitaires), et ainsi optimiser les campagnes sur les utilisateurs iOS refusant le tracking.

Facebook et Google, les précurseurs de l'adtech

Comme nous avons pu le voir, Facebook a mis en place une série d'outils pour contourner vos protections et mieux vous surveiller, les "signaux résilients". Ces outils sont proposés aux annonceurs, clé en main, avec une documentation complète :

Le complexe de surveillance de Facebook est impressionnant, mais Google n'est pas en reste. L'API Conversions de Facebook peut s'appuyer sur l'infrastructure du Server-Side Tagging de Google Tag Manager pour contourner adblockers et protections navigateurs. Et Google fait évoluer sa propre surveillance sur le modèle de l'API Conversion avec son "suivi avancé des conversions".

Ces nouvelles pratiques seront malheureusement une source d'inspiration pour d'autres acteurs publicitaires, rendant la surveillance publicitaire encore plus omniprésente et difficile à éviter.

Que peut-on faire ? Cette course à l'armement (marketing de surveillance vs navigateurs et adblockers) ne suffit pas, elle ne protègera jamais les moins informés. Il nous faut donc bannir la publicité ciblée directement dans la loi :