Safari 27 bloque-t-il Bing UET et les balises LinkedIn ?

Analytique et mesurePar Amir Mousavi

En juillet, les comptes rendus de la bêta de Safari 27 s’entendaient sur un titre : Safari 27 bloque Bing UET et le LinkedIn Insight Tag par adresse IP, et les proxys de première partie n’y changeront rien. Safari 27 est sorti le 14 septembre 2026. J’ai cherché qui avait vérifié cette affirmation sur la version stable, et je n’ai trouvé personne.

J’ai donc lu les fichiers. Les listes de traqueurs de Safari sont téléchargées dans le cache de votre compte utilisateur, pas compilées dans le navigateur. Le 9 octobre 2026, j’ai analysé sur mon Mac (macOS 27.0.1, Safari 27.0.1) les cinq qui comptent pour les balises marketing, et j’y ai cherché les hôtes martech courants.

La version courte : Bing UET et LinkedIn figurent bien sur une liste, mais pas sur la liste IP. Celle-ci compte cinq plages, et aucune n’appartient à Microsoft ni à LinkedIn.

Note datée du 9 octobre 2026 : ce billet est une lecture des listes et de la documentation d’Apple et de WebKit, pas un test de navigateur ; il dit donc « listé », pas « bloqué ». Apple met ces listes à jour sans annonce. Un test en direct dans le Web Inspector de Safari 27.0.1 sera ajouté ici avec sa date.

Réponse courte

Les propres listes de traqueurs de Safari 27 ne mettent ni Bing UET ni le LinkedIn Insight Tag sur sa liste IP. Telle que lue le 9 octobre 2026 sur un Mac sous Safari 27.0.1, cette liste contient cinq plages (Google, Adobe et trois de Criteo) et rien de Microsoft ni de LinkedIn. bat.bing.com et snap.licdn.com figurent sur une autre liste, celle des scripts d’empreinte numérique connus, que Safari applique par défaut à toute la navigation depuis Safari 26. Cette protection limite ce que les scripts peuvent lire, comme la chaîne de requête et le référent, et aucune règle de blocage de ces fichiers ne nomme l’un ou l’autre hôte. L’identifiant de clic de Bing, msclkid, figure sur la liste de retrait des paramètres, qu’Apple documente pour la navigation privée et pour les liens ouverts depuis Mail et Messages.

Ces listes sont-elles nouvelles dans Safari 27 ?

Non.

Fichier (nom que lui donne WebKit)EntréesTampon de version (inféré)Fichier actuel créé sur ce Mac
FINGERPRINTING_SCRIPTS (scripts d’empreinte numérique)217 hôtes8 janvier 202611 janvier 2026
QUERY_PARAM (données de filtrage des liens)37 entrées (29 partout, 8 limitées à certains sites)6 octobre 20268 octobre 2026
TRACKING_SUBNETS (adresses réseau de traqueurs)5 plages IP5 novembre 202521 novembre 2025
TRACKING_DOMAINS (domaines de traqueurs)628 domaines, chacun avec un propriétaire5 novembre 202521 novembre 2025
URL_FILTER (liste de blocage des traqueurs)3 857 règles de blocage sur 180 domaines25 septembre 20242 mai 2025

Un fichier peut être remplacé lors d’une mise à jour ; la dernière colonne indique donc quand la copie actuelle a été écrite, pas quand la liste a d’abord existé. Malgré tout, la liste d’empreinte qui nomme LinkedIn et Bing porte un tampon de janvier 2026, et la liste IP un tampon de novembre 2025. Safari 27 est arrivé sur ce Mac le 18 septembre 2026.

Ce sont les listes actuelles d’Apple, pas des « listes de Safari 27 ». Ni les notes de version de Safari 27 d’Apple ni le billet de WebKit sur Safari 27.0 (17 septembre 2026) n’ont de section sur la confidentialité ou le pistage.

Quelle protection anti-pistage de Safari 27 chaque liste alimente-t-elle, et quand ?

Chaque liste alimente une protection différente. Pour la plupart, le mode dépend d’un seul réglage, Use advanced tracking and fingerprinting protection sous Safari > Settings > Advanced (libellés de l’interface anglaise), qui couvre la navigation privée par défaut, ou toute la navigation si l’utilisateur le choisit. Les limites d’empreinte et le nettoyage des liens dans Mail et Messages font exception.

ListeProtection alimentéeOù Apple et WebKit la documentent par défaut
Scripts d’empreinte numériqueAdvanced Fingerprinting Protection : les scripts listés obtiennent des réponses peu fiables des API exploitables pour l’empreinte et ne peuvent lire ni les paramètres de requête ni le référentToute la navigation, depuis Safari 26
Filtrage des liensLink Tracking Protection : les paramètres listés sont retirés avant une navigation intersitesNavigation privée, plus les liens ouverts depuis Mail et Messages
Liste de blocageBlocage des chargements réseau vers les traqueurs connusNavigation privée (voir la réserve ci-dessous)
Domaines et plages IP de traqueursBlocage des sous-domaines de première partie camouflés qui pointent vers un traqueur connu ; le code de WebKit consulte aussi cette table pour les témoins et le cacheNavigation privée
  • Empreinte numérique. L’annonce de macOS 26 par Apple, en juin 2025, dit que Safari offre désormais la protection avancée contre l’empreinte dans toute la navigation par défaut (« now offers advanced fingerprinting protection in all browsing by default »). Le billet de WebKit sur Safari 26.0 en énumère les effets, dont l’impossibilité de lire les paramètres de requête et document.referrer. Le code actuel de WebKit n’ajoute la limite sur les témoins et le localStorage qu’avec le réglage avancé.
  • Link Tracking Protection. L’annonce d’Apple de juin 2023 couvre Messages, Mail et la navigation privée ; le billet Private Browsing 2.0 de WebKit (16 juillet 2024) l’étend à la navigation ordinaire quand le réglage avancé couvre toute la navigation.
  • Liste de blocage. Le même billet décrit un bloqueur de contenu activé automatiquement en navigation privée ; le fichier d’URL est une liste de règles de blocage visant des tiers.
  • Domaines et plages IP de traqueurs. Le code de WebKit ne fait ce contrôle que si les protections avancées sont actives et que la requête vise un autre sous-domaine du site de la page, le schéma de collecte de première partie que WebKit qualifie de « camouflé ».

La réserve. Le code source actuel de WebKit contient aussi un réglage, actif par défaut et non lié à la navigation privée, qui charge la même liste de règles de blocage pour chaque page. Sa dernière modification date du 25 septembre 2026, onze jours après la sortie de Safari 27. Je ne peux pas savoir de l’extérieur si Safari 27.0.1 en contient une version. Seul un test en direct tranchera.

Safari masque aussi par défaut les adresses IP aux traqueurs connus (depuis Safari 15, selon WebKit) ; Apple ne dit pas quelle liste les définit. Et depuis ses travaux sur Safari 17, publiés à partir de septembre 2023, il plafonne à sept jours, dans toute la navigation, les témoins provenant d’adresses IP tierces camouflées, selon une heuristique et non une liste.

Safari 27 bloque-t-il Bing UET ou le LinkedIn Insight Tag ?

Pas par adresse IP, à en juger par les listes.

Vérification, 9 octobre 2026Bing UETLinkedIn Insight Tag
Scripts d’empreintebat.bing.com listésnap.licdn.com listé
Plages IPAucune plage Microsoft. bat.bing.com a résolu vers 150.171.27.10 et 150.171.28.10, hors des cinqAucune plage LinkedIn. px.ads.linkedin.com et snap.licdn.com ont résolu hors des cinq
Domaines de traqueursbat.bing.com, propriétaire Microsoftlinkedin.com, pas licdn.com
Règles de blocageAucune pour bat.bing.com ; la seule règle Bing vise les pings bing.com/actionp/Aucune pour snap.licdn.com ni px.ads.linkedin.com ; la seule règle LinkedIn vise un point de comptage de partages
Liste de retrait des paramètresmsclkid listéAucun paramètre LinkedIn ; li_fat_id, l’identifiant de clic que la documentation de la Conversions API de LinkedIn demande de capter, en est absent

L’effet documenté sur les deux balises en navigation ordinaire est donc celui de l’empreinte : selon la description d’Apple, le script ne peut pas lire de façon fiable la chaîne de requête ni le référent de la page, là où vivent un identifiant de clic et une source de trafic. Rien dans ces fichiers ne dit que la requête elle-même est arrêtée, mais je ne l’ai pas testé, et la réserve ci-dessus s’applique.

En navigation privée, ou avec le réglage avancé appliqué à toute la navigation, msclkid figure sur la liste que, selon la documentation de Safari, celui-ci retire avant la requête, et le contrôle des sous-domaines camouflés s’active. Ni l’un ni l’autre n’est un blocage par IP des serveurs de Microsoft.

Où les comptes rendus de juillet se sont-ils trompés ?

TAGGRS, Stape et Hardal vendent du balisage côté serveur ; PPC Land et Relevant Audience relaient l’analyse de TAGGRS. Aucun n’a été mis à jour pour la version stable. Stape demande que tout soit testé une fois la version stable sortie (« once a stable release is out »), le bon réflexe, et Hardal qualifie ses points sur Safari 27 de non confirmés.

Affirmation, telle que publiéeCe que disent les listes le 9 octobre 2026
« The Bing UET endpoint is blocked at both domain level and by IP subnet. » TAGGRS, 6 juillet (mis à jour le 30 juillet)Aucune plage Microsoft et aucune règle de blocage pour bat.bing.com. Il est listé comme script d’empreinte et comme domaine de traqueur
« Safari 27 blocks LinkedIn and Bing ad trackers by IP address. » Titre de PPC Land, 18 juilletAucun des deux n’a de plage IP. (Le texte de PPC Land met LinkedIn sur la liste d’empreinte ; seul le titre parle d’IP)
Le blocage par IP serait nouveau dans Safari 27 (TAGGRS, PPC Land)Le fichier IP actuel porte un tampon de novembre 2025. WebKit décrivait le blocage des requêtes camouflées vers des traqueurs connus dès juillet 2024
Tealium et « Blueonic » seraient sur la liste d’empreinte (TAGGRS, Stape, PPC Land)Ni l’un ni l’autre. Les deux sont sur la liste de blocage, avec 123 et 53 règles, ce qui pourrait expliquer le résultat de Stape pour Tealium en mode privé si le profil correspond à une règle
« First-party subdomains and server-side proxies do not evade the block. » Relevant Audience, 19 juilletUn appel de serveur à serveur ne passe jamais par Safari. Le contrôle IP vise les requêtes du navigateur lui-même vers un sous-domaine de votre site
LinkedIn Insight et Segment sont sur la liste d’empreinteExact
Des paramètres de Threads, YouTube et X ont été ajoutés au retrait des liensIls figurent sur la liste aujourd’hui (xmt, si, twclid, cn, cxt, t). S’ils ont été ajoutés dans la 27, je ne peux pas le voir

Les comptes rendus ont trouvé de vraies entrées, puis les ont rattachées au mauvais mécanisme.

Quelles balises d’une pile martech typique figurent sur quelle liste ?

Le tableau pour un audit de pile : inscription sur les listes seulement, telle que lue le 9 octobre 2026. Beaucoup de règles de blocage visent un chemin de script précis, pas le domaine entier.

FournisseurScripts d’empreinteRègles de blocageDomaines de traqueursPlage IPParamètres de lien
Google (GTM, gtag, GA, Ads)L’ancien ssl.google-analytics.com et quatre hôtes publicitaires et de consentementOui : gtm.js, gtag/js, anciens scripts GA, scripts de conversion AdsOui216.239.32.0/19gclid, dclid
Adobe (Analytics, Launch, Audience Manager)NonOui : 216 pour omtrdc.net, 133 pour 2o7.netOui63.140.32.0/19s_cid
Microsoft (UET, Clarity)bat.bing.com, www.clarity.msUne règle de pingbat.bing.comNonmsclkid
LinkedInsnap.licdn.comUne règle de comptage de partageslinkedin.comNonNon
Pixel MetaNonOui : fbevents.js, /tr/OuiNonfbclid
HubSpotjs.hubspot.com, js.hs-analytics.net, hôte européenOui : scripts d’analytiqueOuiNon_hsenc et quatre autres
Marketo EngageNonOui, dont mktoresp.com/webevents/visitWebPageOuiNonmkt_tok
Salesforcea.sfdcstatic.com, salesforceliveagent.comOui : pd.js de PardotOuiNonNon
MailchimpNonNonOuiNonmc_eid
Segmentcdn.segment.comOui : analytics.min.jsOuiNonNon
TealiumNonOui : 123OuiNonNon
Brazejs.appboycdn.com, l’hôte du Web SDK de BrazeNonNonNonNon
Demandbasetag.demandbase.com, scripts.demandbase.comTroisOuiNonNon
6sensej.6sc.coNonNonNonNon
Criteostatic.criteo.netOuiOuiTrois plagesNon
TikTokNonNonAucun hôte TikTok ; cinq hôtes appartenant à ByteDanceNonPas de ttclid

Adobe est la ligne à relire. Sa collecte de première partie repose sur un CNAME de votre sous-domaine vers Adobe, et la cible donnée en exemple dans la documentation de configuration d’Adobe, hiodsibxvip01.data.adobedc.net, a résolu dans la plage Adobe listée depuis mon poste, tout comme edge.adobedc.net. Un sous-domaine Adobe de première partie correspond au schéma camouflé que la table de recherche détecterait. La cible Google pour les domaines personnalisés, ghs.googlehosted.com, a résolu hors de la plage de Google ; vérifiez depuis là où se trouvent vos utilisateurs.

Qu’arrive-t-il au suivi des clics dans les courriels ?

mkt_tok (Marketo), mc_eid (Mailchimp) et cinq paramètres HubSpot, dont _hsenc, figurent sur la liste de retrait des paramètres. Savoir si un jeton est effectivement retiré est une autre question, et je ne l’ai pas testé.

Apple dit que Link Tracking Protection nettoie les liens ouverts dans Mail. Mais les plateformes de courriel font en général passer le lecteur par leur propre redirection de suivi et y ajoutent le jeton. Le jeton n’est alors pas dans le lien qu’ouvre Mail et, dans une fenêtre ordinaire, où le retrait des paramètres est désactivé par défaut, il peut survivre. Un jeton placé dans le lien lui-même peut être retiré.

L’enjeu est l’identité, pas le décompte des clics : la documentation Marketo d’Adobe dit que mkt_tok sert aux pages d’arrivée Marketo et à Munchkin pour suivre une personne, et qu’un lien sans ce paramètre reste suivi. Mailchimp dit que mc_eid désigne l’adresse courriel du destinataire (« identifies the recipient’s email address »). Testez d’abord avec un vrai envoi (étape Trois).

Quand le balisage côté serveur est-il la réponse, et quand ne l’est-il pas ?

Le balisage côté serveur sort du navigateur l’appel au fournisseur. Décidez balise par balise, à l’aide du tableau.

Il aide quand c’est un script listé qui lit vos identifiants. Votre propre code de première partie peut encore lire l’URL d’arrivée, si le paramètre arrive, et envoyer la conversion de serveur à serveur : conversions hors ligne de Microsoft, Conversions API de LinkedIn, conversions améliorées de Google. C’est un problème de captation ; un point de terminaison côté serveur est une réponse, et votre CRM ou votre système back-end peut faire le même appel.

Il aide quand le script ou la balise d’un fournisseur est sur la liste de blocage et que votre part de navigation privée compte. Vérifiez où résout votre propre point de terminaison : un sous-domaine dans une plage listée correspond au schéma camouflé.

Il n’aide pas contre Link Tracking Protection. Là où elle s’applique, Safari retire le paramètre listé avant que la navigation ne quitte l’appareil ; aucun serveur ne le voit, le vôtre compris. Pour le courriel, identifiez la personne par un formulaire ou une connexion, pas par un jeton dans l’URL.

Il n’aide pas pour les balises qui ne figurent sur aucune liste. Ce serait acheter de l’infrastructure pour un problème que vous n’avez pas ; la mesure casse en général plus tôt, comme je l’ai écrit dans pourquoi les implémentations analytiques échouent.

Comment le tester vous-même dans le Web Inspector de Safari 27

Un. Lisez les listes sur votre propre Mac.

cd "$(getconf DARWIN_USER_CACHE_DIR)com.apple.WebPrivacy"
ls -l
tail -c +73 FINGERPRINTING_SCRIPTS.wplist | grep -E 'bing|licdn|segment|hs-analytics'
tail -c +73 TRACKING_SUBNETS.wplist
tail -c +73 QUERY_PARAM.wplist
dig +short smetrics.example.com

Mettez vos propres sous-domaines de collecte dans la dernière ligne et comparez chaque adresse aux cinq plages. Notez la version de Safari, le type de fenêtre et les réglages de confidentialité avec chaque résultat ci-dessous.

Deux. Ouvrez les outils de développement dans une fenêtre privée. Les libellés sont ceux de Safari en anglais, tels que les donne le guide d’Apple. Dans Safari > Settings > Advanced, cochez « Show features for web developers » et notez les réglages de protection avancée et « Hide IP address ». Dans une fenêtre de navigation privée, choisissez Develop > Show Web Inspector, ouvrez l’onglet Network et cochez Preserve Log.

Trois. Testez le retrait des paramètres. Depuis une page d’un autre site, cliquez sur un lien vers votre page d’arrivée portant ?gclid=test1&msclkid=test2&mkt_tok=test3&utm_source=test4. Si Link Tracking Protection s’est appliquée, la requête du document montre utm_source et aucun des trois autres. Recommencez dans une fenêtre ordinaire. Puis recommencez avec un vrai lien suivi tiré d’un envoi test de votre plateforme de courriel, ouvert depuis Apple Mail dans une fenêtre ordinaire, et vérifiez si le jeton arrive sur la requête d’arrivée.

Quatre. Testez le blocage réseau. Dans la fenêtre privée, puis dans une fenêtre ordinaire, chargez une page portant vos balises et filtrez l’onglet Network par domaine de fournisseur. Un chargement bloqué échoue, et la console affiche une ligne commençant par « Blocked connection to known tracker ».

Cinq. Testez les limites d’empreinte par la balise. La journalisation de ces limites dans la console de WebKit est désactivée par défaut ; l’absence de message ne prouve donc rien. Vérifiez si votre identifiant de clic de test s’est rendu dans la requête sortante de la balise, comme l’appel à bat.bing.com, et comparez avec le même clic dans Chrome.

Voici, propre à Safari, le détail de la consigne « testez sur un vrai Safari » de la liste de vérification d’implémentation analytique.

Mon avis de travail

Le mécanisme est toute la décision. « Bloqué par IP » veut dire que les données de conversion ne quittent jamais le navigateur et que seul un chemin côté serveur aide. « Listé comme script d’empreinte » veut dire que la balise peut encore se déclencher mais ne peut pas lire l’identifiant de clic. C’est un problème de captation, et il a des solutions moins chères qu’un nouveau contrat d’hébergement.

Trois éléments des listes comptent plus que le titre sur Bing et LinkedIn. Adobe et Google sont les deux fournisseurs d’analytique avec une plage IP, et le CNAME de première partie d’Adobe est le cas d’école du schéma camouflé. Les jetons de courriel de Marketo, HubSpot et Mailchimp figurent sur la liste de retrait, et le fait que vos envois les perdent ou non dépend de la façon dont votre plateforme construit ses liens. Et les balises qui ne figurent sur aucune liste, TikTok compris, ne demandent aucun projet Safari.

Ce qui changerait mon avis, c’est le test en direct. Si bat.bing.com ne parvient pas à se connecter dans une fenêtre Safari 27 ordinaire avec les réglages par défaut, les listes ne racontent pas toute l’histoire, et je le dirai ici.

Foire aux questions sur la protection anti-pistage de Safari 27 et les balises marketing

Safari 27 bloque-t-il la balise Bing UET ?

Pas par adresse IP, d’après les listes qu’Apple a servies à un Mac sous Safari 27.0.1 le 9 octobre 2026 : la liste IP ne contient aucune plage Microsoft, et aucune règle de blocage ne nomme bat.bing.com. L’hôte est listé comme script d’empreinte connu, ce qui, depuis Safari 26, limite ce que le script peut lire dans toute la navigation, dont la chaîne de requête et le référent. msclkid figure sur la liste de retrait des paramètres, qu’Apple documente pour la navigation privée et les liens ouverts depuis Mail et Messages. Aucun test en direct n’a encore été mené.

Le LinkedIn Insight Tag est-il bloqué dans Safari 27 ?

Il est listé, sans preuve de blocage, au 9 octobre 2026. snap.licdn.com figure sur la liste des scripts d’empreinte d’Apple, qui restreint l’accès du script aux paramètres de requête, au référent et aux API exploitables pour l’empreinte. Les listes ne contiennent ni plage IP LinkedIn ni règle de blocage pour la balise, et li_fat_id ne figure pas sur la liste de retrait des paramètres.

Quels paramètres la protection contre le pistage par lien de Safari 27 retire-t-elle ?

La liste d’Apple, lue le 9 octobre 2026, compte 37 entrées (34 noms distincts), dont 29 appliquées partout et 8 seulement sur certains sites. On y trouve gclid, dclid, fbclid, msclkid, twclid, yclid, mkt_tok, mc_eid, _hsenc et quatre autres paramètres HubSpot, ainsi que s_cid. Les paramètres UTM n’y figurent pas. Apple et WebKit documentent cette protection pour Messages, Mail et la navigation privée, et pour la navigation ordinaire seulement quand l’utilisateur applique « Use advanced tracking and fingerprinting protection » à toute la navigation.

Comment j’ai lu les listes

Les fichiers se trouvent dans com.apple.WebPrivacy, sous le dossier qu’affiche getconf DARWIN_USER_CACHE_DIR ; Jeff Johnson, de Lapcat Software, l’a documenté en juin 2023, quand le fichier de paramètres comptait 25 entrées. Sur mon Mac, il contenait dix fichiers .wplist, réécrits pour la dernière fois le 8 octobre 2026.

Chaque fichier est du texte brut après un en-tête de 72 octets. Le premier octet est un numéro de type qui correspond au fichier WebPrivacySPI.h de WebKit (1 liste de blocage, 2 filtrage des liens, 3 domaines de traqueurs, 4 adresses de traqueurs, 9 scripts d’empreinte) ; c’est ainsi que j’ai associé les fichiers aux protections. Les octets 36 à 43 contiennent un horodatage en millisecondes que je lis comme la date de version. C’est inféré : Apple ne documente pas ce format, mais chaque valeur tombe sur une minute ronde et, pour quatre fichiers, précède de 1,6 à 16 jours la création du fichier actuel. Les dates de création viennent de stat, les réponses DNS du résolveur de ce Mac le 9 octobre, et le code de WebKit de sa branche principale ce jour-là, qui peut différer de la compilation 27.0.1. Les empreintes des fichiers sont dans mes notes de travail.

Sources utilisées

Vérifié à la source : 9 octobre 2026.