La forme ordinaire d un navigateur est d allumer tout puis d offrir un menu de ce qu on peut eteindre. Celui ci fait l inverse : il part avec les interrupteurs coupes et demande de les ouvrir, site par site, quand le besoin vient. Le prix est une premiere visite bien pauvre sur beaucoup de sites. Le gain est que rien ne quitte l appareil tant que personne n a decide que cela devait.

Coupe d abord, ouvert site par site

Privacy Browser est un navigateur libre pour Android, et la version actuelle est 3.20.1. Le site resume la position en deux phrases : envoyer le moins de donnees possible au reseau, garder le moins de donnees possible sur l appareil. En pratique tout commence ferme. Scripts, cookies, stockage DOM et la chaine d identification du navigateur, tout ce qu un reseau publicitaire pourrait coudre en empreinte, ne part pas de lui meme.

Quand un site ne charge pas sans l un de ces elements, la reponse n est pas un interrupteur global mais une ouverture pour cette visite seule. La voie plus propre est un reglage par domaine : le site s ouvre a l arrivee et se referme au depart, si bien que la visite suivante ne demande aucune pression.

Pas mal de points se reglent par domaine : scripts, cookies, stockage DOM, chacune des cinq listes de blocage separement, le blocage de toutes les demandes tierces, la chaine d identification, la taille de police, le theme, la largeur de la fenetre, le chargement des images, l epinglage des certificats, et le fait de fixer un domaine sur une adresse donnee. Un site visite souvent se regle une fois et le reste garde les valeurs par defaut.

La 3.20 a reecrit le moteur des listes

Cette version se concentre sur les listes de blocage. Tout le chemin, de l analyse a la comparaison, a ete reecrit dans le but de rejoindre la version de bureau. La ou l auteur avait corrige a la main certaines regles pour qu une liste ne frappe pas a tort sur un site donne, ces pieces ont disparu ; certaines entrees de l ancien code pouvaient faire tomber l application net, la nouvelle mise en oeuvre non.

Un ecran des listes est apparu, atteint par le menu en haut a droite de la liste des demandes. Toucher une entree montre comment elle a ete analysee : a quelle liste elle appartient, a quelle sous liste, quel morceau de chaine a ete touche et quelles options de filtrage l accompagnaient, de quoi verifier la lecture d une regle.

Le jugement d une demande tierce a change aussi. Il ne comptait autrefois qu une difference de domaine principal ; desormais c est le nom de domaine complet qui decide, et un ecart entre sous domaines compte également. Certaines demandes qui passaient sont maintenant filtrees, comme dans la version de bureau.

Le cache est vide apres chaque chargement termine, non plus seulement en mode prive, au prix d un rechargement possible en revenant en arriere.

Cinq listes, filtrees par domaine et par tiers

Cinq listes arrivent en deux etages : une liste generale et une liste de vie privee comme base, deux plus severes empilees dessus, plus une liste contre les nuisances visant fenetres, couches et morceaux sociaux. La liste sociale qui figurait a part a ete fondue dans celle des nuisances, la separation n ayant apporte aucun gain mesure.

Android offre peu de prises, donc deux options de filtrage seulement sont pleinement tenues : domaine et tiers. Les autres demanderaient plus d informations que le navigateur n en expose, et elles sont laissees de cote. Les entrees en expression reguliere coutent cher, peu figurent dans les listes, et seules les lignes portant certains caracteres sont traitees comme expression.

Garder le moins possible

Pendant une navigation ordinaire, hormis les signets et les reglages de domaine que l utilisateur enregistre exprès, tout est vide quand une session se termine, quand un nettoyage avec sortie s execute, ou quand le dernier onglet ferme. Le dossier du Service Worker est supprime apres chaque chargement de page.

Le mode prive existe pour les cas qui demandent plus : cache et historique partent apres chaque chargement. La page de principes de l auteur cite des gens qui ont besoin d une protection extreme, pour qui visiter un site est deja un risque, et accepte que la gene soit un prix juste.

L enregistrement automatique de l historique complet et la restauration des onglets apres un redemarrage ont ete refuses net : une navigation ordinaire laisserait alors des traces, faciles a relever si l appareil tombe en d autres mains. Les signets et les reglages de domaine sortent en un seul fichier SQLite, qui voyage vers une nouvelle machine.

Quatre permissions seulement

Le site les enumere : acces au reseau pour charger les pages, installation de raccourcis pour poser un site sur l ecran d accueil, appareils proches sur le reseau local, ce qui est une permission dangereuse a accorder a la main, utile pour les adresses locales comme la page d administration d un routeur, et une permission de protection qu Android ajoute de lui meme aux recepteurs dynamiques.

Aucune bibliotheque publicitaire, aucune mesure d audience, aucun achat dans l application. L auteur a retire en 2021 la version gratuite avec publicite, parce qu elle devait empaqueter une bibliotheque publicitaire, et une telle bibliotheque glisse ses propres permissions dans une application, dont le demarrage avec le systeme.

Versions et compatibilite

3.20.1 porte le code de version 81, demande Android 8.0 au minimum et vise l API 36. La version n a corrige qu un probleme de compilation : F-Droid fixait la version de Java a la main, la valeur par defaut a depuis depasse 17, et la contrainte pouvait partir.

Le rendu utilise toujours le WebView du systeme, donc plus il est recent sur une machine, mieux les choses se passent. L auteur prevoit de passer a une branche tenue par lui dans la serie 4.x, et la quelques normes du web seront pliees pour la vie privee, WebRTC etant l exemple deja nomme. La prochaine version, 3.21, vise un controle fin des cookies et releve l API minimale a 29.

Gratuit et payant en meme temps

Le code se trouve sur le GitWeb de l auteur sous GPLv3 ou plus recent, et les tickets passent par un Redmine auto heberge. La distribution se separe en deux : la version F-Droid est compilee par la communaute depuis le code et se prend gratuitement, les trois boutiques commerciales portent une version payante dont le revenu est l une des sources principales du projet, avec en plus des dons.

Les deux voies portent le meme code ; seule la facon de se les procurer differe. Qui veut de la commodite et des avis de mise a jour va en boutique, qui ne veut rien payer va vers F-Droid.

Des compromis a connaitre d avance

Tout coupe par defaut veut dire que beaucoup de sites arrivent en morceaux a la premiere visite : les images chargees en differe ne partent pas, les commentaires n apparaissent pas, une fenetre d identification ne repond pas. Pour l utiliser agreablement, il faut accepter le travail de reglage par site au debut.

Lie au WebView du systeme, il y a un plafond a ce qui peut etre bloque. Les listes ne jugent que sur deux axes, domaine et tiers ; cacher un element et injecter un script doivent attendre un moteur tenu par le projet.

Il prend en charge Android 8.0 et au dela, les systemes plus anciens restent dehors, et les problemes d interface sur un Android ancien sont repares de bonne volonte.

Privacy Browser traite la vie privee comme la regle et non comme une option : les interrupteurs partent coupes, les sites s ouvrent au besoin, et ce qui pourrait etre garde ne l est le plus souvent pas. Le poids de 3.20.1 est le moteur de listes reecrit, avec le jugement des tiers resserre au nom de domaine complet ; pas de fonctions nouvelles bruyantes, et ce qui se sent est un filtrage qui tombe mieux et un cache qui ne reste plus sur l appareil.