# Chrome supprime toutes les données de site, sauf celles de Google. Verdict : REVERT.

Published: 2026-09-07

Jeff Johnson a configuré Chrome pour supprimer toutes les données de site lorsque la dernière fenêtre se ferme, a effectué une seule recherche Google, et les cookies, le stockage local et le stockage de session de google.com étaient toujours là après une fermeture complète — le seul site exempté, dans Chrome 152 et dans Chromium open-source. Il a trouvé le même bug dans Chrome 86 en octobre 2020 ; Google l'a qualifié de bug et l'a corrigé. Également ce week-end : Isar Aerospace a mis la première fusée privée européenne en orbite depuis la Norvège, le plugin shunt de Spotify achemine 90 % des lectures de fichiers de Claude Code vers Gemini Flash, et un ancien SRE de LinkedIn explique pourquoi l'astreinte avec l'IA vous laisse avec une « dette de compréhension ». Verdict : REVERT.

Canonical: https://thedailydiff.dev/fr/video/2026-09-06-sandbox-crimes/

## Ce que couvre cette vidéo

- Chrome exempte à nouveau google.com de la suppression à la fermeture
- Isar Aerospace : première fusée privée européenne en orbite
- Le portail de Spotify réduit les jetons de code de Claude de 90 %
- A/I (Autistici/Inventati) ferme après 25 ans

## Transcription traduite

Traduit de la narration originale en anglais. L'audio et les sous-titres disponibles sont gérés par YouTube.

0:00 L'histoire la plus "upvotée" sur Hacker News ce week-end, 1 278 points, est un message Mastodon concernant une copie de qBittorrent qui s'est échappée de sa sandbox et a téléchargé du contenu appartenant à de grandes entreprises, puis une copie de Jellyfin qui a brisé le confinement et l'a stocké : le premier rapport d'évasion de sandbox de l'été où tout le monde est d'accord sur qui l'a fait. Ce fut un grand week-end pour les choses qui s'échappent. Samedi, Jeff Johnson a découvert que Chrome conservait discrètement les cookies de google.com après lui avoir demandé de tout supprimer, un bug que Google avait déjà corrigé une fois,

0:28 il y a six ans. Samedi soir, la startup allemande Isar Aerospace a mis une fusée en orbite depuis la Norvège à sa deuxième tentative, la première ayant duré moins d'une minute ; et dimanche le collectif italien Autistici/Inventati a fermé après vingt-cinq ans d'hébergement de courrier pour activistes, ce que je vais lier plutôt que de plaisanter à ce sujet. Dans cette vidéo : ce que Chrome conserve et pourquoi encore est toute l'histoire, une fusée, un plugin Spotify qui licencie votre modèle coûteux de quatre-vingt-dix pour cent de son travail, et un ancien SRE de LinkedIn sur la raison pour laquelle l'astreinte IA vous rend moins bon dans votre

0:58 travail. Nous sommes le dimanche 6 septembre, et c'est The Daily Diff. Jeff Johnson fabrique des applications Mac et, apparemment, des rapports de bugs Chrome. Sur deux Macs exécutant Chrome 152.0.7977.83, il a réglé le moteur de recherche sur DuckDuckGo, désactivé la connexion Chrome, et configuré les données de site pour qu'elles soient supprimées lorsque toutes les fenêtres sont fermées : "burn after reading" pour les navigateurs. Il a effectué une seule recherche Google, fermé la seule fenêtre, et google.com était toujours là : cookies, stockage local, stockage de session, survivant à une fermeture complète et à un redémarrage ; d'après lui,

1:27 le seul site qui bénéficie de ce traitement. Un utilisateur Debian l'a reproduit sur Chromium open-source le même jour, donc c'est dans le code à partir duquel tous les navigateurs Chromium sont construits, y compris ceux qui ont la confidentialité dans leur slogan. Maintenant, le mot "encore". En octobre 2020, le même Jeff Johnson a trouvé la même chose dans Chrome 86 : les données d'Apple étaient effacées à la fermeture, YouTube et Google Search conservaient les leurs. The Register, The Verge et Gizmodo ont couvert

1:50 l'affaire ; Google a qualifié cela de bug et l'a corrigé en quelques semaines. Six ans plus tard, c'est de retour. Johnson cite le rasoir de Hanlon, puis ajoute que Google n'a aucune excuse pour l'incompétence non plus, et suggère des tests unitaires. Allez plus lentement et ne cassez rien. Personne ne sait quelle version a causé cette régression ; statistiquement, un déploiement du vendredi.

2:06 Pour information, le même Chrome 152 a été livré jeudi avec douze correctifs de sécurité, dont une confusion de type V8 déjà utilisée pour s'échapper du bac à sable, récompense : mille dollars ; la même semaine, Google a retiré toutes les extensions Manifest V2 du Web Store, y compris uBlock Origin, pour votre sécurité. Donc Chrome a eu une évasion de sandbox qui rapporte mille dollars, et une évasion de paramètres qui rapporte à Google. Mercredi, j'ai approuvé le modèle SHIP IT de Google ; cela tient,

2:29 le modèle n'a pas écrit ce navigateur. Probablement. Pendant ce temps, samedi 22h12, Andøya, Norvège : le Spectrum d'Isar Aerospace, vingt-huit mètres, deux étages, environ une tonne en orbite basse, a atteint l'orbite sept minutes après le décollage, puis s'est circularisé et a déployé cinq cubesats et une expérience boulonnée : le tout premier lancement orbital depuis l'ouest sol européen. C'est le vol deux. Le vol un, en mars 2025, a duré moins d'une minute, et le vol deux a été décalé de janvier à juin : une valve, une fuite, la météo et un bateau.

2:56 Le PDG Daniel Metzler affirme que l'Europe a désormais un accès souverain à l'espace ; le commentaire le plus populaire de Hacker News note que la Guyane française fait partie de l'UE depuis tout ce temps : techniquement correct, la forme de correction la plus européenne. Communiqué de presse : quarante fusées par an ; Space dot com : plus de trente ; choisissez-en un. Jeudi, le blog d'ingénierie de Spotify a expliqué comment un ingénieur a réduit l'utilisation de tokens Claude de quatre-vingt-dix pour cent, et l'astuce insulte le modèle de pointe : la plupart de ce que fait l'agent n'est pas de la réflexion, c'est de la lecture de fichiers, donc un plugin appelé shunt intercepte chaque appel Read, bloque les fichiers de plus de 350 lignes,

3:30 et les transmet à Gemini 2.5 Flash. Un quart des responsables d'ingénierie dépensent déjà deux à cinq cents dollars par développeur par mois en tokens, certains dépassent les deux mille, donc c'est Spotify Wrapped pour votre facture de tokens : le genre principal, lire les vingt mêmes fichiers de test. Les petits caractères sont dans le post : chaque délégation est un aller-retour de dix à trente secondes, vous ne pouvez pas déléguer les modifications car le modèle bon marché ne gère pas les numéros de ligne, et il a manqué un bug de thread-safety que Claude a détecté en quelques secondes,

3:54 donc les quatre-vingt-dix pour cent s'appliquent à la lecture, pas à la facture, pas au bug. Ce qui nous amène à Sylvain Kalache, SRE LinkedIn vers 2012, et au post le plus inconfortable du week-end : l'IA gère les incidents de routine à 3 heures du matin maintenant, et les incidents de routine étaient la façon dont les humains apprenaient leurs systèmes, donc quand l'incident bizarre arrive, celui qui est de garde a moins de pratique que jamais. Il cite les Ironies de l'automatisation et de l'aviation de Bainbridge en 1983 : les moteurs tombent en panne en vol moins d'une fois toutes les cent mille heures,

4:22 et les capitaines le répètent toujours tous les six mois, car sur TransAsia 235, l'équipage a arrêté le mauvais moteur et a eu 117 secondes. Sa prédiction : les incidents de routine se résolvent plus vite, les incidents complexes beaucoup plus lentement ; il appelle l'écart dette de compréhension, ce qui me décrit aussi et notre cluster Kubernetes. Il travaille chez Rootly, qui vend des simulateurs d'incidents, donc la conclusion arrive pré-sponsorisée, mais le point tient : la seule évasion de bac à sable à laquelle tout le monde a fait confiance ce week-end a été investiguée par un humain, sur un canapé,

4:49 avec un client torrent. Si vous préférez lire ceci plutôt que de m'entendre le dire, le "diff" arrive dans votre boîte de réception tous les matins — gratuit sur The Daily Diff dot dev, lien ci-dessous. Donc, le verdict d'aujourd'hui : REVERT. Un paramètre qui dit supprimer tout, et un navigateur qui supprime tout sauf son propriétaire, n'est pas un bug que vous pouvez SHIP IT deux fois. C'est le "diff" d'aujourd'hui. Je suis Niko d'Axrisi.

5:09 Fusionnez de manière responsable.

## Sources

- [Chrome again exempts Google from user site data settings](https://lapcatsoftware.com/articles/2026/9/1.html) — lapcatsoftware.com
- [HN thread (Chromium 152 repro on Debian)](https://news.ycombinator.com/item?id=49581870) — news.ycombinator.com
- [The 2020 original, Chrome 86](https://lapcatsoftware.com/articles/chrome-google.html) — lapcatsoftware.com
- [The Verge, Oct 21 2020: Google fixed the 2020 bug](https://www.theverge.com/2020/10/21/21526341/google-chrome-local-storage-cookies-youtube-search-bug-fix) — www.theverge.com
- [Chrome 152.0.7977.82 stable notes: 12 security fixes, CVE-2026-85046 exploited in the wild, $1,000](https://chromereleases.googleblog.com/2026/09/stable-channel-update-for-desktop_01882797386.html) — chromereleases.googleblog.com
- [Google removed all Manifest V2 extensions incl. uBlock Origin (Aug 31)](https://webiterate.dev/google-removed-extensions-ublock-origin-108/) — webiterate.dev
- [Isar Aerospace press release](https://isaraerospace.com/press/history-for-european-spaceflight-isar-aerospace-reaches-orbit-and-deploys-payloads-on-second-flight) — isaraerospace.com
- [Space.com: Private German rocket makes history](https://www.space.com/space-exploration/launches-spacecraft/isar-aerospace-second-launch-norway-andoya-spaceport-spectrum-rocket) — www.space.com
- [Portal by Spotify cut my Claude Code token usage by 90%](https://engineering.atspotify.com/2026/9/portal-by-spotify-cut-my-claude-code-token-usage-by-90) — engineering.atspotify.com
- [AI handles incidents, engineers lose touch with their systems](https://www.sylvainkalache.com/blog/ai-handles-incidents-engineers-lose-touch-with-their-systems) — www.sylvainkalache.com
- [A/I shuts down](https://keepitfree.ai/announcements/a/i-shuts-down-stay-human/) — keepitfree.ai