Federated Learning of Cohorts (Apprentissage Fédéré des Cohortes) ou FLoC est un système de suivi publicitaire sur Internet proposé par Google qui se place comme une alternative aux cookies.
Le projet est né dans les locaux de Google Ads au sein du projet Privacy Sandbox qui vise à développer des solutions pour remplacer les cookies[1].
Chaque utilisateur est placé au sein d'un groupe d'individus, cohortes, partageant des centres d'intérêts. Ces derniers recevront alors les mêmes publicités ciblées[2]. L'utilisateur se voit attribuer un identifiant unique, baptisé Cohort ID (parfois renommé FLoC ID). Celui-ci permet de déterminer à quelle cohorte il appartient.
Le Cohort ID est recalculé une fois par semaine[3].
En avril 2021, Google a lancé des tests de la fonctionnalité sur certains utilisateurs de Chrome[4].
Il est possible de vérifier sur le site Am I FLoCed?.
Les développeurs de Brave et Vivaldi ont annoncé ne pas vouloir intégrer ce système. Début 2021, il n'est non plus pas prévu que la fonctionnalité soit implémentée dans Mozilla Firefox, Safari et Opera. Microsoft reste pour le moment assez flou sur sa volonté d'utiliser le FLoC sur Edge à l'avenir.
La Quadrature du Net conseille de désinstaller Google Chrome et Chromium et de privilégier d'autres navigateurs, comme Firefox[5].
Le 23 avril 2021, la commission européenne annonce ouvrir une enquête sur les dernières initiatives de Google en matière de publicité en ligne, de cookies, de monétisation et de concurrence[6].
Les développeurs qui ont regardé plus en détail le fonctionnement de la technologie FLoC mettent en avant la possibilité pour les sites Internet ayant des comptes utilisateurs de les identifier malgré tout[7]. Les critiques portent notamment sur le fait que le Cohort ID d'un utilisateur peut-être récupéré via du code JavaScript. Un site Internet donné peut alors l'associer à l'utilisateur connecté et suivre les cohortes auxquelles il est assigné d'une semaine à l'autre.
Le site Internet a également accès à des informations concernant le navigateur pour un utilisateur connecté. En effet, la résolution d'écran, l'application cliente, les installations tierces effectuées sur le navigateur, etc. constituent une empreinte.
En couplant le Cohort ID récupéré avec l'empreinte du navigateur, les sites Internet peuvent suivre l'évolution des cohortes de leurs utilisateurs et obtenir des informations privées. Comme le Cohort ID est mis à jour chaque semaine, il est possible pour un site Internet de suivre le comportement des utilisateurs qui changent de groupe.
Un site peut déclarer qu'il ne souhaite pas être inclus dans la liste des sites utilisés pour le calcul de cohorte via une instruction spécifique.
Celle-ci doit être envoyée dans l'en-tête HTTP de la fenêtre principale :
Permissions-Policy: interest-cohort=()
Cette politique d'autorisations bloque l'API de cohorte d'intérêt[8].
De même l'API n'est pas autorisée dans un contexte non sécurisé ou sur un site où les paramètres de Chrome bloquent les cookies.