Un guide complet des entête sécurité de HTTP (CORS, CSP, HSTS, etc.)

Les devs qui empêchent la sélection de texte ou bloquent le copier-coller dans les pages web méritent véritablement une place en enfer.
(là j'étais sur un site allemand, je ne comprends rien. Je veux copier-coller du texte dans deepl.com: BAH NON BIEN SUR.
Mais heureusement on a CTRL+MAJ+K)

Face au shitstorm, Google abandonne WEI (Web Integrity Environment), son abomifreux projet de DRM pour le web (cf. https://sebsauvage.net/links/?yAEHuQ).

Quand je clic sur les pages de mon DokuWiki, je me rend compte à quel point le web peut être RAPIDE. C'est dingue. Toutes les pages se chargent entre 0,2 et 0,5 secondes.
Du point de vue *perception*, on a l'impression que c'est instantané. Même sans le moindre pré-fetch/pre-load.

Et malgré nos machines ultra-puissantes et des connexions fibrées, le web reste globalement de la merde parce qu'on charge la mule pour des conneries. 😑

Voici la nouvelle proposition de Google pour faire évoluer le web : le "Web integrity".
J'explique : Sous couvert de "sécurité" (what else ?), Google propose un système qui permet aux sites web d'afficher une page web dans le navigateur sans altération possible. C'est une sorte de DRM pour les pages web.
Cela sera donc supporté dans Chrome et tous les dérivés de Chrome (Brave, Vivaldi, Edge...).

Effet secondaire : Cela empêche totalement de bloquer les publicités et les trackers dans les pages web.
Effet suivant : Seuls les navigateurs approuvés par Google pourraient afficher les pages web de ces sites. Détruisant de fait la possibilité de créer des navigateurs alternatifs. Cela verrouillerait totalement le web.

Bien sûr, il faut refuser ça.
ARRÊTEZ D'UTILISER CHROME, CHROMIUM, UNGOOGLE CHROME, BRAVE et tous les navigateurs basés sur Chrome.  Utilisez Firefox.
Sinon, dans quelques années on aura plus que nos yeux pour pleurer.

Vous n'êtes pas convaincu⋅e ? Faites une choses simple pour voir le futur imaginé par Google : Coupez votre bloqueur de publicité et baladez-vous sur le web.
Ouais, c'est juste intolérable, on est d'accord ?

EDIT: Analyse : https://www.theregister.com/2023/07/25/google_web_environment_integrity/
Et complément : https://www.fsf.org/blogs/community/web-environment-integrity-is-an-all-out-attack-on-the-free-internet

EDIT: Face au shitstorm, Google laisse tomber le projet. Il va juste en créer une version réduite pour Android WebView, le composant qui permet aux applications d'afficher des pages html (et souvent utilisé pour créer des applications Android qui ne sont rien d'autre que des "vues" web).
https://www.theregister.com/2023/11/02/google_abandons_web_environment_integrity/

Tiens... une alternative à BlurHash (https://sebsauvage.net/links/?jXWzxg).
Le principe est d'afficher un aperçu (flou) des images qui ne sont pas encore chargées. Cet aperçu est encodé directement dans la page html sous forme d'une chaîne de caractères. C'est très sympa pour avoir un "bel" aperçu de la page même quand les images ne sont pas encore chargées.
ThumbHash semble un peu meilleur que BlurHash (qui est actuellement beaucoup utilisé).

Je lance Microsoft Teams dans le navigateur Vivaldi. Vivaldi m'affiche la taille de la page chargée.
47 Mo.
😣  Man dieu, quel monstre avons-nous engendré avec le web ???

Je pose ça là.

Un bookmarklet pour afficher un site avec la police OpenDyslexic.

Spoiler: Oui, et ce n'est pas dans notre intérêt.

La liste des favicons que la plupart des navigateurs demandent.

Le web est une abomination technologique.
Une abomination qui est elle-même abusée, massivement, profondément, douloureusement par tous les trous imaginables. (Et des trous, il y en a.)
Je suis presque nostalique de Usenet.

Mais c'est tellement vrai...

Un flux RSS présenté sous la forme d'un journal. Amusant.
C'est un peu le même genre de chose que j'avais voulu faire dans Shaarli. Exemple: https://sebsauvage.net/links/?do=daily&day=20200311

Purée quand tu utilises un VPN tu te rends compte à quel point c'est fantastiquement dégueulasse la quantité de sites qui te fourguent une page dans une langue en essayant de déterminer ta localisation géographique depuis l'IP au lieu de prendre les préférences de langue envoyées dans les entêtes HTTP.
Grosse bande de boulets.
Accept-Language MOTHERFUCKER ???

Et merci qui ? Merci Tim Berners-Lee ! >:-(

Je partage cette rage.
On se croirait revenu à l'époque des sites web conçus pour Internet Explorer.

Quelques conseils pour construire des règles CSP de base pour votre site (Content-Security-Policy).
Un site pour les vérifier: https://securityheaders.io/

Un moteur de jeu WebGL. Gratuit et opensource. (La société se paie par l'hébergement de projets chez eux).
Note: Unity (un moteur 3D desktop) possède désormais un export WebGL, mais il fait encore 10 Mo là où PlayCanvas ne fait que 500 ko. On pourra aussi jeter un coup d'oeil du côté d'Unreal Engine, bien sûr.

Des fois c'est surprenant : Je trouve que le site web mobile de Reddit est plus rapide que toutes les applications natives Android que j'ai pu tester pour ce site. Chapeau Reddit.
(PS: je suis passé d'Opera Classic à UC Browser. Ça me fait mal de quitter Opéra, mais UC Browser est plus stable et beaucoup plus rapide. Sans compter le bloqueur de publicité inclus nativement. )

Je me met ça de côté pour lecture ultérieure: Quelques entêtes HTTP à ajouter à vos pages pour améliorer la sécurité pour vos visiteurs (contre XSRF, XSS, inclusion dans des frames/iframes, etc.)

Vous voulez empêcher les proxy des opérateurs mobiles de recompresser les images ? Voici le truc pour Apache:
<IfModule mod_headers.c>
   <FilesMatch "\.(png|jpg|jpeg|gif)$">
       Header append Cache-Control "public, no-transform"
   </FilesMatch>
</IfModule>

C'est le "no-transform" qui fait tout. Visiblement, la majorité des opérateurs semblent le respecter.

Je garde ça sous le coude: un algo pour afficher une galerie d'image en maximisant l'utilisation de l'espace et en répartissant les photos même si elles sont d'un ratio hauteur/largeur très différent.
Exemple de résultat: http://www.chromatic.io/FQrLQsb

Les pièges du développement d'une webapp sous forme de page unique (concept dont je n'a jamais été vraiment fan, mais bon...)

Je viens de tester Codiac. C'est un éditeur de code en ligne. Il est vraiment très sympa. Dommage qu'il refuse d'ouvrir les fichiers non-UTF8.
(Merci à Idleman de me l'avoir fait découvrir.)

Donc un petit: iconv --from-code=ISO-8859-1 --to-code=UTF-8 iso.txt > utf.txt
et c'est bon.

Juste +1

Webkit est un logiciel libre, youhou, le web est beau, tout le monde il est gentil. Devinez qui fait les revues de codes et - donc - décide de ce qui entre ou non dans Webkit ? Apple et Google.
(cf. http://sebsauvage.net/rhaa/index.php?2012/11/21/09/18/39)

Un framework pour tester la sécurité des applications web (dont les règles OWASP). Intéressant ! (via http://blog.m0le.net/)

CloudFlare a fait des émules. Voici http://stopcloud.net/, une startup française.
Il semble agir également comme un reverse-proxy, mais ne semble gérer pour le moment que les requêtes en GET.

Et ben ça aura pris le temps !

Une LONGUE lecture sur la bonne manière de gérer les formulaire d'authentification. Il y a là d'excellents conseils (par exemple, différentes manière d'empêcher le bruteforce sur les formulaires de login).

Un autre éditeur texte riche léger (bien plus léger que FCKEditor ou TinyMCE).
Voir aussi: http://xing.github.com/wysihtml5/

Jason me signale cet autre player HTML5/Flash.

EDIT: Article sur mon blog: http://sebsauvage.net/rhaa/index.php?2012/10/03/12/07/39-heberger-des-videos-sur-son-propre-serveur-sans-le-tuer
Un test d'auto-hébergement de vidéos.

Problèmes initiaux:
  • Héberger une vidéo sur son propre serveur est très consommateur en bande passante.
  • Problème de débits insuffisants (pas de réplication mondiale comme le CDN de YouTube)
  • Compatibilité entre navigateurs à gérer.

La solution:
  • Lecteur vidéo opensource Video.js (http://videojs.com) supportant HTML5/WebM et Flash/MP4.
  • Graceful degradation automatique vers Flash/MP4 si HTML5/WebM non supporté.
  • Donc: Vidéos stockées en WebM et MP4.
  • Utilisation du CDN gratuit CoralCache (http://sebsauvage.net/links/?GBT2sQ) pour éliminer les problèmes de consommation de bande passante et de débit (plus de 300 serveurs répartis dans le monde).

C'est très simple, ça marche dans tous les navigateurs, ça ne consomme pas votre bande passante et pour le moment CoralCache ne semble rien censurer. Seule contrainte: Rendre la vidéo disponible dans 2 formats (WebM et MP4). Plutôt cool, non ?

Seul soucis constaté: CoralCache renvoie un "Accept-Ranges:none", ce qui empêche d'avoir le curseur pour se positionner dans la vidéo.
Dites-moi si vous voyez des problèmes.

Pour le .htaccess du répertoire contenant vos vidéos, pensez à mettre:
AddType video/mp4 .mp4
AddType video/webm .webm

(Mitsu doit bien se marrer de mon petit bricolage, lui qui fait ça depuis longtemps.)

ATTENTION webmasters, ATTENTION.
Mitsukarenai me confirme que le bot Google commence à interpréter le javascript dans les pages. Il a pris en flagrant délit un bot de Google (66.249.66.44) en train de faire des requêtes sur des URLs appelée exclusivement par du javascript dans un OnClick. Il va falloir blinder vos pages web. Ça va être une belle merde.

Google, allô ? ça me semble *VRAIMENT* une FBI (Fausse Bonne Idée).

EDIT: Mise à jour janvier 2017: Visiblement, le robot de Google commence aussi à gérer l'Ajax: http://sebsauvage.net/links/?jRvZrQ

Un détecteurs de shell sur votre site.
https://github.com/emposha/PHP-Shell-Detector
ça peut servir.

Vous avez apprécié Twitter ? Vous avez plein d'appli non-officielles et d'outils branchés dessus ? Vous n'allez pas aimer: Le réseau va se fermer progressivement, à la Facebook. Vous serez obligés de passer par l'appli et le site officiel.
La raison ? Twitter veut probablement gagner plus d'argent.

Des générateurs de sites statiques.

Gni. Je n'avais même pas vu: PeaceCopathe me signale que Framasoft a créé Famakey WebApps. En gros un serveur web portable avec des applications web pré-installées (Dokuwiki, Mediawiki, Drupal, WordPress et bien d'autres). Très pratique.
Dézippez, lancez, et vous avez la webapp fonctionnelle, déjà installée. Il n'y a plus qu'à se loguer.

Un effort collectif (mailing-list + wiki) pour réfléchir à des solutions pour implémenter du P2P au niveau du web.

(en référence à ça : http://sebsauvage.net/rhaa/index.php?2012/02/09/12/07/25-le-web-ouvert-est-menace)
Et voilà, comme dit Glazman (http://www.glazman.org/weblog/dotclear/index.php?post/2012/04/25/The-Open-Web-and-CSS-prefixes), on y est. Opera va supporter les extentions propriétaires CSS -webkit-  :-(

Un plugin jQuery qui a l'air assez cool pour faire des uploads.

EDIT: Article sur mon blog: http://sebsauvage.net/rhaa/index.php?2012/02/09/12/07/25-le-web-ouvert-est-menace

Coup de gueule de Daniel Glazman, développeur des éditeurs HTML NVu et Griffon, et membre du comité CSS du W3C. Ce qu'il annonce est simple: Apple est en train de prendre le pouvoir du web par l'adoption massive des propriétés CSS propriétaires -webkit-*, que les autres navigateurs ont annoncé prochainement supporter "parce qu'ils n'ont pas le choix".

La faute à qui ? La faute aux webmasters qui utilisent de plus en plus exclusivement le préfixe -webkit-* (et ommettant les -moz-* (Firefox), -ms-* (IE), -o-* (Opera)). Cela veut dire que ces webmasters sont en train de développer des sites destinés aux navigateurs d'Apple exclusivement. C'est mal. C'est un triste retour aux pages "Conçues pour IE6".

Et n'oublions pas non plus cet imbécile de Google qui fait une promotion MASSIVE pour des sites ne fonctionnant que sous Chrome (Un exemple parmis beaucoup d'autres: http://allisnotlo.st/), sans compter son NativeClient.

Les poids lourds du web (Google, Apple) sont en train de tirer la couverture à eux (comme l'a fait Microsoft à une époque avec IE), au détriment de tout le monde: internautes, webmasters.

Comment Ploum fait pour assurer son indépendance sur le net. Tiens je ne savais pas qu'il avait mis en place un hébergement blog(DotClear)+jabber+mail+webmail(RoundCube): http://fritalk.com/  Ça se pait en BitCoin: 1 BTC par mois. L'année est à 10,99 BTC.

EDIT: Ploum va mettre fin à son service Fritalk: http://ploum.net/post/adieu-fritalk

Bien joué, la Redoute: Elle profite du buzz sur la gaffe de l'homme nu pour organiser un concours à la recherche de FAILs dans son catalogue, avec des prix à la clé. (via http://lolobobo.fr/)

Si vous avez un lien raccourci, ce site vous montre les redirections successives.
Des fois ça devient débile: http://sebsauvage.net/rhaa/index.php?2012/01/16/15/43/32-boing-boing-boing-faisait-le-petit-lien

ça fait déjà deux commentaires Slashdot qui parlent de Wt. (http://ask.slashdot.org/comments.pl?sid=2601808&cid=38571970)
En gros, Wt c'est une sorte de Qt-like pour le web, adossé à C++. Visiblement ça permet de faire des choses intéressantes (accès canvas HTML5, Ajax, routines C++ déportables en Javascript, code compilé C++ pour de meilleures performances, portabilité du code et du serveur applicatif Linux/Windows...)
http://www.webtoolkit.eu/wt/features

+1.
Je regrette qu'il utilise Disqus. Quant à CloudFlare, même si ça a l'air sympathique comme ça, il est absolument hors de question de voir ça sur mon site.

Pourquoi les apps ne représentent pas l’avenir. Bon article.