Qu’y a-t-il dans la dernière mise à jour de Firefox ? 91 supprime plus de cookies, donne un clin d’œil à HTTPS par défaut

Mozilla a actualisé Firefox mardi à la version 91, améliorant sa suppression des cookies pour nettoyer plus en profondeur le navigateur des trackers, et commençant à faire du paramètre HTTPS uniquement la valeur par défaut, en commençant par Private Windows.

Les ingénieurs de sécurité de l’organisation ont également 11 vulnérabilités corrigées, huit étiquetés comme « Élevé », la deuxième étiquette la plus sérieuse de Firefox. Deux des failles n’ont été trouvées que dans l’édition Linux du navigateur, tandis qu’une autre n’existait que dans la version Android.

Firefox 91 peut être téléchargé pour Windows, macOS et Linux à partir de Le site de Mozilla. Étant donné que Firefox se met à jour en arrière-plan, la plupart des utilisateurs peuvent relancer le navigateur pour installer la dernière version. Pour mettre à jour manuellement sous Windows, faites défiler le menu sous les trois barres horizontales en haut à droite, puis cliquez sur l’icône d’aide (le point d’interrogation dans un cercle). Choisissez « À propos de Firefox ». (Sur macOS, « À propos de Firefox » se trouve dans le menu « Firefox ».) La page ou la fenêtre contextuelle qui en résulte indique que le navigateur est déjà à jour ou affiche le processus de mise à niveau.

Mozilla a mis à jour Firefox pour la dernière fois il y a quatre semaines, le 13 juillet.

Efface les cookies tiers

Firefox 91 augmente les capacités de nettoyage des cookies du navigateur en activant ce que Mozilla a appelé « l’effacement amélioré des cookies » lorsque l’utilisateur a défini la protection de suivi du navigateur sur le niveau « strict ».

En termes simples, plutôt que d’effacer uniquement les cookies pour un domaine spécifique – disons, mondeinformatique.com — Enhanced Cookie Clearing décharge non seulement les cookies et les trackers utilisés par ce domaine, mais également tous les trackers basés sur des cookies qui peuvent être apparus sur cette page à partir de autre domaines. (Les trackers peuvent être ajoutés à toutes sortes de composants de page tiers, des photos aux connexions Facebook ou Google.)

« Les ressources tierces intégrées compliquent l’effacement des données », ont affirmé un trio d’employés de Mozilla dans un publier sur le blog de sécurité de l’entreprise. Avant la suppression améliorée des cookies, Firefox effaçait les données uniquement pour le domaine spécifié par l’utilisateur. Si vous deviez effacer le stockage pour pantalons confortables.com, Firefox a supprimé le stockage de pantalons confortables.com et a laissé le stockage de tous les sites qui y sont intégrés (facebook.com) derrière. Garder le stockage intégré de facebook.com signifiait qu’il pourrait vous identifier et vous suivre à nouveau la prochaine fois que vous visiterez pantalons confortables.com.

Les utilisateurs doivent définir « Protection renforcée contre le pistage » sur « Strict » dans le volet Paramètres de Firefox pour permettre un effacement plus complet des cookies. Toute commande de suppression des cookies – par exemple, en cliquant sur l’icône de verrouillage dans la barre d’adresse et en sélectionnant « Effacer les cookies et les données du site… » – effacera alors le navigateur des cookies tiers, ainsi que ceux créés par le site web actif.

HTTPS par défaut fait ses débuts

Firefox, comme d’autres navigateurs, a mis en place des fonctionnalités HTTPS-first depuis un certain temps. (Firefox 83, lancé en novembre 2020, proposait HTTPS-first en option.)

Avec Firefox 91, Mozilla a activé un paramètre HTTPS par défaut pour la fenêtre privée, le mode spécifique à la confidentialité du navigateur pendant lequel le navigateur ne stocke pas les cookies et l’historique de navigation.

Mozilla revendiqué que la nouvelle fonctionnalité est une « amélioration majeure dans la façon dont le navigateur gère les adresses de pages Web non sécurisées ».

« Chaque fois que vous entrez une URL non sécurisée (HTTP) dans la barre d’adresse de Firefox, ou que vous cliquez sur un lien non sécurisé sur une page Web, Firefox essaiera désormais d’abord d’établir une connexion HTTPS sécurisée et cryptée avec le site Web », ont écrit quatre employés de Mozilla dans la publication sur le blog de sécurité de l’organisation. « Dans les cas où le site Web ne prend pas en charge HTTPS, Firefox se repliera automatiquement et établira une connexion en utilisant le protocole HTTP hérité à la place. »

Bien que la fonctionnalité ne s’applique qu’aux sessions de fenêtre de confidentialité à partir de Firefox 91, Mozilla a déclaré qu’elle étendrait la fonctionnalité. « Nous nous attendons à ce que HTTPS par défaut s’étende au-delà de Private Windows dans les mois à venir », ont déclaré les quatre sans être précis.

Mozilla

Google est sur le même cas ; il prévoit de lancer une première fonctionnalité HTTPS avec Chrome 94, dont la sortie est actuellement prévue le 21 septembre. Dans Chrome, la fonctionnalité sera facultative pour démarrer, mais Google a déclaré qu’il pourrait faire du paramètre « le paramètre par défaut pour tous les utilisateurs à l’avenir ».

Authentification unique Windows

Ailleurs dans Firefox 91, une nouvelle stratégie de groupe — WindowsSSO — peut être configuré par le service informatique pour permettre au navigateur de récupérer les informations d’identification stockées par Windows pour se connecter aux comptes Microsoft afin d’accéder à des propriétés telles qu’Outlook en ligne et le portail Office 365.

Cette fonctionnalité d’authentification unique peut également être activée à partir du volet Paramètres du navigateur sous Windows. Plus d’informations à ce sujet peuvent être trouvées ici.

La prochaine version, Firefox 92, sortira le 7 septembre.