Université Grenoble Alpes

Lieu de travail

Intitulé du sujet

Champs scientifiques

Mots clés

Les navigateurs Web s'appuient sur des mécanismes de stockage côté client (cookies, Web
Storage, IndexedDB) qui ont été conçus dans un souci de fonctionnalité, sans tenir compte
de la conformité réglementaire. Des études empiriques récentes révèlent des lacunes
systématiques : aucune distinction intégrée entre les données essentielles et non
essentielles, aucune application native des délais de conservation, et un isolement
insuffisant vis-à-vis des scripts tiers partageant la même origine. Cette thèse propose de
repenser l'architecture de stockage directement au niveau du moteur du navigateur, en
intégrant les principes du RGPD dès la conception. L'approche repose sur des API
déclaratives qui garantissent la finalité, la base juridique et la durée de conservation de
chaque opération de stockage, associées à un modèle d'isolation basé sur la finalité qui
étend la politique de même origine. Des mécanismes automatisés de vérification du
consentement, de suppression des données et de protection cryptographique seront mis en
œuvre au sein de Chromium. Un tableau de bord utilisateur natif permettra aux individus
d'exercer leurs droits au titre du RGPD, tandis que des outils de migration aideront les
développeurs à adopter progressivement la nouvelle architecture. L'évaluation combinera
des tests de performance, des tests de pénétration, une vérification formelle et des études
d'ergonomie, dans le but de démontrer qu'une conformité solide au RGPD est réalisable
sans sacrifier les performances ni la compatibilité avec les applications web existantes
-
-

Web browsers rely on client-side storage mechanisms (cookies, Web Storage, IndexedDB) that were designed for functionality, with no consideration for regulatory compliance. Recent empirical studies reveal systematic gaps: no built-in distinction between essential and non-essential data, no native enforcement of retention periods, and insufficient isolation against third-party scripts sharing the same origin. This thesis proposes to redesign the storage architecture directly at the browser engine level, embedding GDPR principles by design. The approach is based on declarative APIs that enforce the purpose, legal basis, and retention period of each storage operation, coupled with a purpose-based isolation model extending the Same-Origin Policy. Automated consent verification, data deletion, and cryptographic protection mechanisms will be implemented within Chromium. A native user dashboard will enable individuals to exercise their GDPR rights, while migration tooling will support developers in gradually adopting the new architecture. Evaluation will combine performance benchmarking, penetration testing, formal verification, and usability studies, with the goal of demonstrating that robust GDPR compliance is achievable without sacrificing performance or compatibility with existing web applications.
-
-

Début de la thèse : 01/10/2026

Concours allocations

Université Grenoble Alpes

Université Grenoble Alpes

217 MSTII - Mathématiques, Sciences et technologies de l'information, Informatique

Le candidat doit être titulaire d'un master en informatique. Une compréhension approfondie et solide de l'architecture des navigateurs Web et des protocoles HTTP est indispensable. Une bonne connaissance des mécanismes de sécurité Web (politique de même origine, politique de sécurité du contenu, cookies) est un atout, tout comme un intérêt pour les questions juridiques liées à la protection des données à caractère personnel. Le candidat doit faire preuve d'autonomie, de rigueur scientifique et d'une forte aptitude à la recherche expérimentale ainsi qu'à la contribution à des projets open source de grande envergure.
The candidate must hold a master's degree in computer science. A strong and solid understanding of web browser architecture and HTTP protocols are essential. Familiarity with web security mechanisms (Same-Origin Policy, Content Security Policy, cookies) is preferred, as is an interest in legal issues related to personal data protection. The candidate must demonstrate independence, scientific rigor, and a strong aptitude for experimental research and contributing to large-scale open-source projects.

Date limite de candidature