Firefox 87 pour limiter le référent pour toutes les requêtes cross-origin
- Catégorie: Firefox
Mozilla annoncé prévoit de supprimer le référent que le navigateur Web Firefox envoie lorsque des demandes sont faites pour toutes les demandes d'origine croisée aujourd'hui afin d'améliorer la confidentialité.
Les demandes effectuées par le navigateur Web, par ex. pour charger une page Web, une image, une feuille de style CSS ou une publicité, inclut le référent. Le référent est généralement l'URL que les utilisateurs voient dans la barre d'adresse du navigateur.
Jusqu'à présent, Firefox et la plupart des autres navigateurs ne supprimaient le référent que lorsque les demandes étaient faites à partir de sites sécurisés, par ex. ceux utilisant HTTPS, vers des sites non sécurisés, par ex. ceux qui utilisent HTTP.
L'URL peut fournir des informations aux serveurs auxquels les demandes sont adressées et qui vont au-delà du nom de domaine d'un site. Il peut révéler le titre de l'article ou la page à laquelle un utilisateur a accédé, et peut également inclure des informations sensibles telles que des requêtes de recherche.
À partir de Firefox 87, Mozilla supprimera automatiquement le référent pour toutes les demandes d'origine croisée, par ex. demandes du site A (example.com) au site B (secondexample.com).
Le site B ne connaît plus la page exacte d'où provient la demande, et d'autres informations, telles que les requêtes de recherche, ne sont plus non plus divulguées sur le site.
Au lieu de soumettre l'intégralité du référent, par ex. seul le nom de domaine est soumis. En termes techniques, Firefox est en train de passer de la politique de référence « no-referrer-when-downgrade » à « strict-origin-when-cross-origin ».
À partir de Firefox 87, nous définissons la politique de référence par défaut sur « strict-origin-when-cross-origin », ce qui supprimera les informations sensibles de l'utilisateur accessibles dans l'URL. Comme illustré dans l'exemple ci-dessus, cette nouvelle politique de référent plus stricte ne supprimera pas seulement les informations pour les demandes allant de HTTPS à HTTP, mais supprimera également les informations de chemin et de requête pour toutes les demandes d'origine croisée. Avec cette mise à jour, Firefox appliquera la nouvelle politique de référence par défaut à toutes les demandes de navigation, demandes redirigées et demandes de sous-ressources (image, style, script), offrant ainsi une expérience de navigation beaucoup plus privée.
Le changement est effectué silencieusement en arrière-plan pour tous les utilisateurs de Firefox 87 ou plus récent. Firefox 87 sera rendu public le 23 mars 2021.