Un tag NFC peut-il vous suivre à la trace ?
Le tag lui-même ne le peut pas. Il n'a pas de source d'énergie, aucun souvenir de qui l'a lu, et aucun moyen de dire quoi que ce soit à qui que ce soit. Ce qui peut vous suivre, c'est l'adresse vers laquelle il envoie votre téléphone, qui voit une visite exactement comme le ferait n'importe quelle page web.
L'objet ne le peut pas
Un tag n'a pas de pile, donc il ne fait absolument rien tant qu'un lecteur n'est pas contre lui. Il n'a pas d'horloge, donc il ne peut pas savoir quand quelque chose s'est produit.
Il n'a pas de mémoire où écrire pendant une lecture ordinaire, donc il ne peut pas accumuler une liste des téléphones passés. Et il n'a de liaison avec rien, si bien que même s'il savait quelque chose il ne pourrait pas le rapporter.
Chacun de ces points est une propriété du silicium plutôt qu'une politique susceptible de changer. Un tag passif est le mauvais objet sur lequel bâtir une surveillance, et cela ne va pas s'améliorer.
La destination le peut
Presque tous les tags portent une adresse. La lecture ouvre cette adresse, et ce qui se trouve à l'autre bout est un serveur web ordinaire aux capacités ordinaires.
Il voit la visite, l'adresse réseau d'où elle vient, le navigateur, et ce qu'il choisit de poser ou de mesurer. Rien de tout cela n'est propre au NFC et tout cela est exactement ce que fait la visite de n'importe quelle page.
Ce qui s'ajoute, c'est qu'un déploiement bien fait donne à chaque tag son adresse propre, si bien que la visite dit quel objet physique a été touché. Une visite de page devient une visite de lieu.
C'est la réponse honnête à la question, et elle désigne l'exploitant de la destination plutôt que le tag.
Ce que construit une série de lectures
Une lecture est un instant. Beaucoup de lectures du même déploiement, depuis le même téléphone, sont un motif, et c'est avec un motif que les questions de vie privée deviennent réelles.
Que ces lectures puissent être rapprochées dépend entièrement de la destination : pose-t-elle quelque chose qui persiste, demande-t-elle une connexion, les adresses sont-elles distinctes.
Un déploiement qui veut les rapprocher le peut. Un déploiement qui ne le veut pas peut s'arranger pour ne pas le faire, et le choix revient à l'exploitant plutôt qu'à la technologie.
C'est pourquoi la question utile devant un déploiement de tags n'est pas ce que fait le tag. C'est qui exploite la page et ce qu'il conserve.
Ce que vous maîtrisez
Poser ou ne pas poser le téléphone, ce qui est tout, puisque rien n'arrive tant que vous ne l'approchez pas délibérément de l'objet.
Ce que vous faites une fois la page ouverte, jugement identique à celui que vous appliqueriez à n'importe quel lien.
Lire un tag plutôt qu'agir dessus, avec une application qui vous montre le contenu au lieu de le suivre, ce qui vaut la peine devant tout tag inconnu dans un lieu public.
Prenez NFC Tools. Sur iOS, elle demande un iPhone 7 ou un modèle ultérieur sous iOS 15.6 au minimum, et l'application doit être lancée manuellement. La lecture en arrière plan est disponible à partir de l'iPhone XS et XR.
Questions fréquentes
Un tag peut-il enregistrer qui l'a lu ?
Non. Un tag ordinaire n'a pas d'énergie propre, pas d'horloge et aucun moyen d'écrire un enregistrement pendant une lecture.
Comment un tag pourrait-il alors servir à suivre quelqu'un ?
Par l'adresse qu'il ouvre. Le site à l'autre bout voit la visite et sait quel tag l'a envoyée.
Les tags sont-ils pires que les codes QR sur ce point ?
Non. La même chose vaut pour un code imprimé, et pour la même raison. C'est à la destination que la collecte a lieu.
Comment vérifier un tag sans agir dessus ?
Le lire avec une application qui affiche le contenu au lieu de le suivre. C'est la façon sûre d'examiner un tag inconnu.