#### macOS

1. [Téléchargez](https://www.wireshark.org/download.html) et installez Wireshark (inclut `tshark`).
2. Ajoutez `tshark` à votre `PATH` :   ```sh
   sudo ln -s /Applications/Wireshark.app/Contents/MacOS/tshark /usr/local/bin/tshark

3. Le workflow GitHub Actions correspondant s'exécutera et publiera automatiquement les artefacts de la version. Pour Zeek, la version apparaîtra sur [packages.zeek.org](https://packages.zeek.org/).

## Détails de JA4+

JA4+ est un ensemble d'empreintes réseau simples mais puissantes pour plusieurs protocoles, à la fois lisibles par l'humain et par la machine, facilitant une meilleure chasse aux menaces et une analyse de sécurité améliorée. Si vous n'êtes pas familier avec l'empreinte réseau, je vous encourage à lire mes articles de blog publiant JA3 [ici](https://medium.com/salesforce-engineering/tls-fingerprinting-with-ja3-and-ja3s-247362855967), JARM [ici](https://medium.com/salesforce-engineering/easily-identify-malicious-servers-on-the-internet-with-jarm-e095edac525a), et cet excellent article de Fastly sur l'[État de l'empreinte TLS](https://www.fastly.com/blog/the-state-of-tls-fingerprinting-whats-working-what-isnt-and-whats-next) qui décrit l'historique des méthodes susmentionnées ainsi que leurs problèmes. JA4+ apporte un support dédié, en maintenant les méthodes à jour à mesure que l'industrie évolue.

Toutes les empreintes JA4+ ont un format a_b_c, délimitant les différentes sections qui composent l'empreinte. Cela permet la chasse et la détection en utilisant uniquement ab ou ac ou c seulement. Si l'on souhaitait simplement faire une analyse sur les cookies entrants dans son application, on regarderait uniquement JA4H_c. Ce nouveau format préservant la localité facilite une analyse plus approfondie et plus riche tout en restant simple, facile à utiliser et extensible.

Par exemple, GreyNoise est un écouteur internet qui identifie les scanners internet et implémente JA4+ dans son produit. Ils ont un acteur qui scanne internet avec un seul chiffrement TLS en constante évolution. Cela génère une quantité massive d'empreintes JA3 complètement différentes, mais avec JA4, seule la partie b de l'empreinte JA4 change, les parties a et c restent identiques. Ainsi, GreyNoise peut suivre l'acteur en regardant l'empreinte JA4_ac (en joignant a+c, en supprimant b).

Pour une liste des méthodes JA4+ et leurs descriptions, voir [Méthodes actuelles et détails d'implémentation](#current-methods-and-implementation-details).

Pour comprendre comment lire les empreintes JA4+, voir [Détails techniques](https://github.com/foxio-llc/ja4/blob/main/technical_details/README.md).

## Licence

*JA4 : Empreinte client TLS* est [open-source, BSD 3-Clause](https://github.com/foxio-llc/ja4/blob/main/LICENSE-JA4), tout comme JA3. FoxIO n'a pas de revendications de brevet et ne prévoit pas de poursuivre une couverture par brevet pour l'empreinte client TLS JA4. Cela permet à toute entreprise ou outil utilisant actuellement JA3 de passer immédiatement à JA4 sans délai.

**JA4S, JA4L, JA4LS, JA4L-Delta, JA4H, JA4X, JA4SSH, JA4T, JA4TS, JA4TScan, JA4D, JA4D6, JA4Scan-TLS, JA4Scan-QUIC, JA4N et toutes les futures ajouts (collectivement appelés JA4+)** sont en attente de brevet et sous licence [FoxIO License 1.1](https://github.com/foxio-llc/ja4/blob/main/LICENSE). Cette licence est permissive pour la plupart des cas d'utilisation, y compris pour des fins académiques et commerciales internes, mais n'est pas permissive pour la monétisation. Si, par exemple, une entreprise souhaite utiliser JA4+ en interne pour aider à sécuriser sa propre entreprise, cela est autorisé. Si, par exemple, un fournisseur souhaite vendre l'empreinte JA4+ dans le cadre de son offre de produits, il devra demander une licence OEM auprès de nous.

JA4+ est une marque déposée de FoxIO

JA4+ peut être et est implémenté dans des outils open-source, voir la [FAQ sur la licence](https://github.com/foxio-llc/ja4/blob/main/License%20FAQ.md) pour plus de détails.

Cette licence nous permet de fournir JA4+ au monde d'une manière ouverte et immédiatement utilisable, mais nous offre également un moyen de financer le support continu, la recherche de nouvelles méthodes et le développement de la base de données JA4+. Nous voulons que chacun ait la possibilité d'utiliser JA4+ et nous sommes heureux de travailler avec les fournisseurs et les projets open-source pour y parvenir.

## Q&R

Q : Pourquoi triez-vous les chiffrements ? L'ordre n'a-t-il pas d'importance ?  
R : Il en a, mais dans nos recherches, nous avons constaté que les applications et les bibliothèques choisissent une liste de chiffrements unique plus qu'un ordre unique. Cela réduit également l'efficacité du « cipher stunting », une tactique consistant à randomiser l'ordre des chiffrements pour empêcher la détection JA3.

Q : Pourquoi triez-vous les extensions ?  
R : Plus tôt en 2023, Google a [mis à jour les navigateurs Chromium](https://chromestatus.com/feature/5124606246518784) pour randomiser leur ordre d'extensions. Tout comme le cipher stunting, c'était une tactique pour empêcher la détection JA3 et « rendre l'écosystème TLS plus robuste aux changements ». Google craignait que les implémenteurs de serveurs supposent que l'empreinte Chrome ne changerait jamais et finissent par construire une logique autour d'elle, ce qui causerait des problèmes chaque fois que Google mettrait à jour Chrome.

Je veux donc être clair : les empreintes JA4 changeront à mesure que les bibliothèques TLS des applications seront mises à jour, environ une fois par an. Ne supposez pas que les empreintes resteront constantes dans un environnement où les applications sont mises à jour. Dans tous les cas, trier les extensions contourne ce problème et l'ajout des algorithmes de signature préserve l'unicité.

Q : TLS 1.3 ne rend-il pas l'empreinte des clients TLS plus difficile ?  
R : Non, cela le rend plus facile ! Depuis TLS 1.3, les clients ont un ensemble d'extensions beaucoup plus large et même si TLS 1.3 ne prend en charge que quelques chiffrements, les navigateurs et les applications en prennent en charge beaucoup plus.

## JA4+ a été créé par

[John Althouse](https://www.linkedin.com/in/johnalthouse/), avec les retours de :

Josh Atkins  
Jeff Atkinson  
Joshua Alexander  
W.  
Joe Martin  
Ben Higgins  
Andrew Morris  
Chris Ueland  
Ben Schofield  
Matthias Vallentin  
Valeriy Vorotyntsev  
Timothy Noel  
Gary Lipsky

Michael Barbine

Et des ingénieurs travaillant chez GreyNoise, Hunt, Google, ExtraHop, F5, Driftnet et d'autres.

Contactez John Althouse à [email protected] pour les licences et les questions.

<sub>JA4 et JA4+ sont des marques déposées de FoxIO, Inc.  
Copyright (c) 2026, FoxIO</sup>