Google a annoncé que les systèmes anti-abus intégrés à Chrome ont permis de réduire de plus de 7 milliards par jour les notifications indésirables sur Chrome pour Android durant le premier trimestre 2026. Le chiffre, publié le 11 août 2026 dans un billet du blog Google intitulé « The multi-layered defenses that harden Chrome against abusive notifications », illustre l'ampleur d'un problème longtemps sous-estimé : les notifications de navigateur, devenues un vecteur de choix pour les arnaques, le phishing, la diffusion de malwares et les demandes de paiement frauduleuses.

Un modèle défensif « à trous » inspiré du fromage suisse

Pour endiguer le phénomène, Google dit avoir adopté un modèle de défense qualifié de « Swiss cheese » (fromage suisse) : plusieurs systèmes se chevauchent et tentent d'arrêter l'abus à des étapes différentes. « Notre objectif est de garantir que si un abus passe à travers une couche, une autre est là pour l'intercepter », explique l'entreprise, qui ajoute que cette approche permet de stopper l'abus à la source « tout en maintenant un équilibre sain entre utilité et sécurité ».

Concrètement, ce sont plusieurs mécanismes qui travaillent en parallèle : la révocation automatique des permissions, l'analyse des réseaux de sites, la limitation du débit d'envoi et une refonte de l'interface de demande de permission.

Révocation automatique et Safety Hub

Chrome retire déjà les permissions de notification des sites inactifs, ainsi que des sites qui déclenchent de manière répétée des avertissements de « notification suspecte ». Lorsque le navigateur révoque la permission, il peut désabonner automatiquement l'utilisateur des notifications du site concerné.

Google précise que les utilisateurs peuvent consulter les permissions ainsi révoquées dans le Safety Hub de Chrome et les réactiver s'ils le souhaitent. Sur Android, il est également possible de se désabonner directement depuis le panneau de notifications du système.

Cibler les réseaux, pas seulement les sites

Au-delà du comportement individuel d'un site, Google analyse désormais le comportement à travers des réseaux de sites liés, y compris l'activité coordonnée des service workers (les scripts qui fonctionnent en arrière-plan et permettent à un site d'envoyer des notifications même quand l'onglet est fermé). L'objectif est d'identifier des groupes distribuant des notifications trompeuses ou malveillantes.

« Cela nous permet de révoquer proactivement les permissions de ces mauvais acteurs persistants, protégeant les utilisateurs des notifications trompeuses même lorsque le contenu du site ne semble pas intrinsèquement malveillant », indique Google. Les critères analysés incluent le volume de notifications, le temps passé par l'utilisateur sur le site, la fréquence des demandes de permission et l'engagement.

Limitation de débit : 1 000 messages par minute, puis HTTP 429

Sur le plan technique, Google a instauré un système de limitation du débit. Les sites classés comme perturbateurs peuvent être restreints à 1 000 messages par minute, les requêtes excédentaires recevant en réponse une erreur HTTP 429 (Too Many Requests). Ces restrictions peuvent devenir plus sévères pour les récidivistes et ne sont réinitialisées qu'après une période de comportement non perturbateur.

Une demande de permission moins intrusive

Chrome a également modifié la manière dont les demandes de permission de notification s'affichent sur Android, avec une interface moins disruptive conçue pour laisser l'utilisateur décider sans interrompre sa navigation. Google affirme que cette stratégie a « considérablement réduit l'activité en arrière-plan inutile, diminué la consommation de batterie de l'appareil et transformé le cycle de vie des notifications afin que les utilisateurs ne reçoivent que le contenu qu'ils trouvent véritablement utile ».

Une lutte entamée dès 2020

L'offensive actuelle s'inscrit dans la continuité d'un combat que Google mène depuis plus de six ans. Dès janvier 2020, avec Chrome 80, le navigateur avait introduit une « quieter notification permission UI » (interface de demande de permission plus discrète) qui réduisait le caractère intrusif des sollicitations, notamment pour les utilisateurs qui refusent systématiquement les notifications et pour les sites affichant de très faibles taux d'acceptation.

En mai 2020, puis avec Chrome 84 (publié en juillet 2020), Google est passé à la vitesse supérieure en déployant une protection contre les notifications abusives : les sites aux pratiques trompeuses — demandes forcées, fausses boîtes de dialogue imitant des messages système, notifications servant au phishing ou à la diffusion de malwares — étaient automatiquement inscrites dans l'interface discrète, avec un avertissement indiquant que le site pouvait tenter de tromper l'utilisateur. Google rappelait alors que les demandes de notification abusives figuraient parmi les principales plaintes des utilisateurs de Chrome, une part importante du volume provenant d'un petit nombre de sites malveillants — un constat que les chiffres 2026 viennent confirmer à une échelle spectaculaire.

Pourquoi les notifications sont devenues un vecteur d'abus

La raison pour laquelle les notifications de navigateur intéressent tant les cybercriminels tient à leur fonctionnement technique : une fois la permission accordée, un site peut s'appuyer sur un service worker pour pousser des notifications même lorsque l'utilisateur a fermé l'onglet ou n'utilise plus le site. Ce canal persistant, qui ressemble à une notification d'application classique dans le panneau du système, est idéal pour diffuser des escroqueries (faux virus, fausses offres, fausses demandes de paiement) avec un rendu trompeusement officiel.

C'est précisément ce que le billet de Google entend contrer en s'attaquant non plus seulement au contenu d'un site, mais à l'infrastructure (réseaux de sites et activité coordonnée des service workers), marquant un changement d'approche par rapport aux protections de 2020 qui ciblaient surtout les sites individuels.

Ce que les utilisateurs peuvent faire

Sur le terrain, quelques vérifications simples permettent de reprendre le contrôle :

  • Sur ordinateur : Paramètres > Confidentialité et sécurité > Paramètres des sites > Notifications.
  • Sur Android : Paramètres > Notifications dans Chrome, ou directement depuis le panneau de notifications du système pour se désabonner d'un site.
  • Le Safety Hub de Chrome recense les permissions révoquées automatiquement et permet de les restaurer si besoin.

Google invite par ailleurs les webmasters légitimes à respecter les bonnes pratiques : ne pas réclamer la permission dès la première visite, mais à un moment contextuellement pertinent — une recommandation déjà formulée en 2020 et que la nouvelle limitation de débit rend désormais coûteuse à ignorer.

Sources : Google (billet « The multi-layered defenses that harden Chrome against abusive notifications »*, 11 août 2026, relayé par BleepingComputer) ; BleepingComputer ; Chromium Blog (2020) ; ZDNET (2020).