Lentement mais sûrement, le Web est principalement passé à l’utilisation de HTTP ou HTTPS sécurisé comme paramètre par défaut pour la navigation sur les pages Web. Cependant, il existe encore quelques exceptions, notamment lorsqu’il s’agit de contenu téléchargé via des pages Web prétendument sécurisées. Il ne suffit plus de marquer les pages Web comme « sûres », mais aussi les ressources qui en découlent. À partir du mois prochain, Mozilla suivra l’exemple de Chrome et Firefox bloquera les téléchargements sur les pages HTTPS provenant de contenu HTTP non sécurisé.
Pousser fort pour mettre le HTTPS au premier plan peut avoir un effet secondaire malheureux. La plupart des gens confondraient sécurité et sécurité, en supposant que tout sur une page Web HTTPS est sécurisé. Techniquement, HTTPS garantit uniquement que la connexion à la page est sécurisée par cryptage, mais le contenu sur ou provenant de la page est toujours un jeu équitable pour les pirates.
Le risque est encore plus grand lorsqu’il s’agit de contenu téléchargé qui ne provient pas de la page HTTPS elle-même. Appelé « téléchargements de contenu mixte », cela présente le risque que les pages Web HTTPS créent une connexion non sécurisée à la ressource HTTP, annulant les avantages de cette page Web sécurisée. Les navigateurs Web avertissent généralement les utilisateurs de ne pas visiter de pages Web non HTTPS, mais de ne pas télécharger à partir de connexions non sécurisées.
Google a commencé à apporter des modifications à Chrome Plus tôt l’année dernièreMozilla suivra. À partir de Firefox 92, qui sortira le 7 septembre, le navigateur Web bloquera et avertira les utilisateurs lorsqu’ils essaieront de télécharger quelque chose via HTTP lorsqu’ils se trouvent sur une page HTTPS. Bien sûr, ce n’est pas une interdiction stricte, et les utilisateurs peuvent toujours choisir de continuer le téléchargement à leurs risques et périls.
Comme le souligne XDACependant, ce nouveau comportement n’affecte que les téléchargements HTTP sur les pages HTTPS. Le téléchargement de HTTP sur des pages HTTP normales ne déclenchera pas l’avertissement. De plus, coller le lien de téléchargement HTTP directement dans Firefox lui permettra de fonctionner normalement.
