Présentation du service
DecryptAds est une plateforme gratuite lancée en 2024 qui agrège les fichiers ads.txt, app-ads.txt, buyers.json et sellers.json publiés par les sites web et les applications. Ces fichiers, obligatoires depuis 2017, listent les entreprises autorisées à diffuser des publicités ou à collecter des données utilisateur. En scrutant quotidiennement plus de 2 M d’URL, le service crée une base de données interrogeable qui permet de visualiser l’ensemble des partenaires publicitaires d’un domaine.
Mécanismes de collecte et de corrélation
Le moteur de DecryptAds télécharge les déclarations texte, les parse en structures clé‑valeur et les normalise. Il croise ensuite les identifiants de vendeur (seller_id) entre ads.txt et sellers.json afin de détecter les incohérences : déclarations dupliquées, vendeurs absents d’une liste mais présents dans une autre, ou chemins d’enchères qui n’apparaissent jamais dans les listes autorisées. Cette corrélation révèle des « broken cross‑references » qui, selon les chercheurs, sont le signe d’une compromission de la chaîne d’approvisionnement publicitaire.
Par exemple, la recherche sur espn.com a identifié 143 partenaires publicitaires et 19 domaines de courtiers de données. Quasiment 50 % de ces courtiers collectent la géolocalisation des visiteurs non bloquants, et trois d’entre eux récupèrent des empreintes d’appareil et des informations personnelles sensibles. Ces chiffres sont rendus possibles par les lois récentes de Californie, Oregon, Texas et Vermont qui obligent les courtiers à s’enregistrer, ce qui alimente la base de DecryptAds.
Analyse des risques identifiés
Le service met en avant les entités classées « geo‑risk », c’est‑à‑dire basées en Chine, Russie, Émirats arabes unis ou dans des juridictions à forte exposition financière. Sur espn.com, quatre partenaires proviennent de ces pays, dont Between Digital, qui apparaît comme une société russe malgré une adresse américaine. Le lien avec Alfa Bank, sanctionnée par les États‑Unis depuis 2022, indique un vecteur de financement potentiellement illicite.
Une analyse similaire des sites militaires américains (armytimes.com, airforcetimes.com, etc.) montre que tous autorisent Between Digital, deux entités des Émirats et une du Panama. Between Digital gère environ 55 000 sites partenaires et se déclare à la fois éditeur et revendeur sur deux‑tiers de son portefeuille, créant un conflit d’intérêts où le même acteur peut rediriger les dépenses publicitaires vers ses propres propriétés.
Le cas d’Opera illustre la complexité de la chaîne : bien que la société norvégienne contrôle l’opération, la majorité du capital appartient à Kunlun Tech (Chine). DecryptAds recense 27 courtiers de données, dont 15 sont basés aux Émirats, 6 en Chine, 3 à Chypre, 2 en Russie, 1 à Hong Kong et 1 en Ukraine, représentant seulement 7 % des partenaires déclarés, ce qui suggère une sous‑déclaration massive.
Limites et perspectives
Le modèle repose sur la disponibilité publique des fichiers ; tout site qui ne publie pas ou falsifie ses déclarations échappe à la détection. De plus, la granularité des données (ex. ad‑id, timestamps) n’est pas exposée, limitant l’identification de campagnes malveillantes en temps réel. Enfin, l’interprétation des liens juridiques (sanctions, lois sur les courtiers) nécessite une mise à jour continue des bases légales, ce qui n’est pas automatisé.
Malgré ces contraintes, DecryptAds fournit un outil d’investigation rare qui transforme des listes statiques en une cartographie dynamique du suivi publicitaire, ouvrant la voie à des audits de sécurité plus systématiques et à une meilleure visibilité des risques liés à la chaîne d’approvisionnement adtech.
