Un guide complet des entête sécurité de HTTP (CORS, CSP, HSTS, etc.)

Les devs qui empêchent la sélection de texte ou bloquent le copier-coller dans les pages web méritent véritablement une place en enfer.
(là j'étais sur un site allemand, je ne comprends rien. Je veux copier-coller du texte dans deepl.com: BAH NON BIEN SUR.
Mais heureusement on a CTRL+MAJ+K)

Face au shitstorm, Google abandonne WEI (Web Integrity Environment), son abomifreux projet de DRM pour le web (cf. https://sebsauvage.net/links/?yAEHuQ).

Quand je clic sur les pages de mon DokuWiki, je me rend compte à quel point le web peut être RAPIDE. C'est dingue. Toutes les pages se chargent entre 0,2 et 0,5 secondes.
Du point de vue *perception*, on a l'impression que c'est instantané. Même sans le moindre pré-fetch/pre-load.

Et malgré nos machines ultra-puissantes et des connexions fibrées, le web reste globalement de la merde parce qu'on charge la mule pour des conneries. 😑

Voici la nouvelle proposition de Google pour faire évoluer le web : le "Web integrity".
J'explique : Sous couvert de "sécurité" (what else ?), Google propose un système qui permet aux sites web d'afficher une page web dans le navigateur sans altération possible. C'est une sorte de DRM pour les pages web.
Cela sera donc supporté dans Chrome et tous les dérivés de Chrome (Brave, Vivaldi, Edge...).

Effet secondaire : Cela empêche totalement de bloquer les publicités et les trackers dans les pages web.
Effet suivant : Seuls les navigateurs approuvés par Google pourraient afficher les pages web de ces sites. Détruisant de fait la possibilité de créer des navigateurs alternatifs. Cela verrouillerait totalement le web.

Bien sûr, il faut refuser ça.
ARRÊTEZ D'UTILISER CHROME, CHROMIUM, UNGOOGLE CHROME, BRAVE et tous les navigateurs basés sur Chrome.  Utilisez Firefox.
Sinon, dans quelques années on aura plus que nos yeux pour pleurer.

Vous n'êtes pas convaincu⋅e ? Faites une choses simple pour voir le futur imaginé par Google : Coupez votre bloqueur de publicité et baladez-vous sur le web.
Ouais, c'est juste intolérable, on est d'accord ?

EDIT: Analyse : https://www.theregister.com/2023/07/25/google_web_environment_integrity/
Et complément : https://www.fsf.org/blogs/community/web-environment-integrity-is-an-all-out-attack-on-the-free-internet

EDIT: Face au shitstorm, Google laisse tomber le projet. Il va juste en créer une version réduite pour Android WebView, le composant qui permet aux applications d'afficher des pages html (et souvent utilisé pour créer des applications Android qui ne sont rien d'autre que des "vues" web).
https://www.theregister.com/2023/11/02/google_abandons_web_environment_integrity/

Tiens... une alternative à BlurHash (https://sebsauvage.net/links/?jXWzxg).
Le principe est d'afficher un aperçu (flou) des images qui ne sont pas encore chargées. Cet aperçu est encodé directement dans la page html sous forme d'une chaîne de caractères. C'est très sympa pour avoir un "bel" aperçu de la page même quand les images ne sont pas encore chargées.
ThumbHash semble un peu meilleur que BlurHash (qui est actuellement beaucoup utilisé).

Je lance Microsoft Teams dans le navigateur Vivaldi. Vivaldi m'affiche la taille de la page chargée.
47 Mo.
😣  Man dieu, quel monstre avons-nous engendré avec le web ???

Je pose ça là.

Un bookmarklet pour afficher un site avec la police OpenDyslexic.

Spoiler: Oui, et ce n'est pas dans notre intérêt.

La liste des favicons que la plupart des navigateurs demandent.

Le web est une abomination technologique.
Une abomination qui est elle-même abusée, massivement, profondément, douloureusement par tous les trous imaginables. (Et des trous, il y en a.)
Je suis presque nostalique de Usenet.

Mais c'est tellement vrai...

Un flux RSS présenté sous la forme d'un journal. Amusant.
C'est un peu le même genre de chose que j'avais voulu faire dans Shaarli. Exemple: https://sebsauvage.net/links/?do=daily&day=20200311

Purée quand tu utilises un VPN tu te rends compte à quel point c'est fantastiquement dégueulasse la quantité de sites qui te fourguent une page dans une langue en essayant de déterminer ta localisation géographique depuis l'IP au lieu de prendre les préférences de langue envoyées dans les entêtes HTTP.
Grosse bande de boulets.
Accept-Language MOTHERFUCKER ???

Et merci qui ? Merci Tim Berners-Lee ! >:-(

Je partage cette rage.
On se croirait revenu à l'époque des sites web conçus pour Internet Explorer.

Quelques conseils pour construire des règles CSP de base pour votre site (Content-Security-Policy).
Un site pour les vérifier: https://securityheaders.io/

Un moteur de jeu WebGL. Gratuit et opensource. (La société se paie par l'hébergement de projets chez eux).
Note: Unity (un moteur 3D desktop) possède désormais un export WebGL, mais il fait encore 10 Mo là où PlayCanvas ne fait que 500 ko. On pourra aussi jeter un coup d'oeil du côté d'Unreal Engine, bien sûr.

Des fois c'est surprenant : Je trouve que le site web mobile de Reddit est plus rapide que toutes les applications natives Android que j'ai pu tester pour ce site. Chapeau Reddit.
(PS: je suis passé d'Opera Classic à UC Browser. Ça me fait mal de quitter Opéra, mais UC Browser est plus stable et beaucoup plus rapide. Sans compter le bloqueur de publicité inclus nativement. )

Je me met ça de côté pour lecture ultérieure: Quelques entêtes HTTP à ajouter à vos pages pour améliorer la sécurité pour vos visiteurs (contre XSRF, XSS, inclusion dans des frames/iframes, etc.)

Vous voulez empêcher les proxy des opérateurs mobiles de recompresser les images ? Voici le truc pour Apache:
<IfModule mod_headers.c>
   <FilesMatch "\.(png|jpg|jpeg|gif)$">
       Header append Cache-Control "public, no-transform"
   </FilesMatch>
</IfModule>

C'est le "no-transform" qui fait tout. Visiblement, la majorité des opérateurs semblent le respecter.

Je garde ça sous le coude: un algo pour afficher une galerie d'image en maximisant l'utilisation de l'espace et en répartissant les photos même si elles sont d'un ratio hauteur/largeur très différent.
Exemple de résultat: http://www.chromatic.io/FQrLQsb

Les pièges du développement d'une webapp sous forme de page unique (concept dont je n'a jamais été vraiment fan, mais bon...)