Présentation du problème
Un utilisateur a signalé, via le ticket GitHub #107757, que le produit Claude Code d’Anthropic insère l’adresse e‑mail du compte dans l’en‑tête HTTP User‑Agent lorsqu’il contacte des sites web. Cette pratique expose directement une donnée personnelle à chaque serveur visité, ce qui constitue une violation de la vie privée selon les standards de protection des données.
Mécanisme d’injection de l’adresse e‑mail
Le code source de Claude Code construit le User‑Agent en concaténant le nom du produit, sa version et, de façon inattendue, le champ email= suivi de l’adresse du compte connecté. Le résultat ressemble à ClaudeCode/1.0 (email=user@example.com). Cette chaîne est ensuite transmise par la bibliothèque réseau interne à chaque requête HTTP, sans filtrage ni option de désactivation. Le problème provient donc d’une logique de génération d’en‑tête qui ne respecte pas la spécification RFC 7231, laquelle recommande de n’inclure que des informations relatives au client logiciel et au système d’exploitation.
Conséquences sur la confidentialité et la conformité
En diffusant l’adresse e‑mail, Claude Code crée un vecteur de suivi très précis : chaque serveur peut associer les requêtes à un individu identifié, même si le site ne demande pas d’authentification. Cette exposition augmente le risque de profilage, de phishing et de corrélation avec d’autres bases de données. Au regard du RGPD, la transmission d’une donnée personnelle sans consentement explicite constitue un traitement illégal, susceptible d’entraîner des sanctions. De plus, les navigateurs modernes masquent déjà le User‑Agent pour limiter le fingerprinting ; l’ajout d’un identifiant personnel va à l’encontre de cette tendance.
Recommandations et perspectives
Pour corriger la faille, il faut séparer clairement les métadonnées du client des informations d’identification. Une implémentation conforme supprimerait le paramètre email du User‑Agent et proposerait, en option, un en‑tête dédié (par ex. X-User-Email) soumis à l’accord explicite de l’utilisateur. Le code devrait également offrir un paramètre de configuration permettant de désactiver tout en‑voi d’informations personnelles. Enfin, Anthropic devrait publier un correctif, informer les utilisateurs affectés et réviser ses pratiques de collecte de données afin d’aligner le produit avec les exigences légales et les bonnes pratiques de confidentialité.
