Une page web ne est plus un document. C est un programme qui en a l apparence.

Pourquoi le defaut est de refuser

Ouvrir une page aujourd hui revient a executer les scripts de quelqu un. Compteurs, cadres publicitaires, traqueurs de session, fenetres de dialogue et bibliotheques de test tournent dans le meme onglet que l article. Rien de tout cela ne se voit, tout consomme la machine, et une partie sert de voie de livraison a des attaques qui arrivent sans le moindre clic.

NoScript prend le probleme par l autre bout. Au lieu de tenir une liste du mauvais, il traite les sites non classes comme indignes de confiance au depart et laisse l utilisateur accorder. Resultat: un nouveau site montre son contenu mais n execute rien avant autorisation. La premiere visite est plus lente, la surface attaquable bien plus petite.

L extension est ouverte, et le meme composant est inclus dans le navigateur Tor, ou le blocage des scripts fait partie du modele de menace et non du bonus. La version 13.6.36 prolonge cette ligne: la conception ne bouge plus depuis des annees parce que le raisonnement derriere ne bouge pas.

La finesse est tout le sujet

Une liste blanche avec un interrupteur par site serait presque inutile, car un site est rarement une seule origine. Un article prend ses polices a une domaine, sa video a une deuxieme, ses commentaires a une troisieme et ses chiffres a une quatrieme. NoScript expose ces origines separement, donc on peut autoriser le site et le reseau de diffusion en laissant le traqueur dehors.

Les permissions se posent par site et, surtout, par contexte. Une autorisation temporaire couvre les cinq minutes d une video puis expire; une autorisation durable sert aux quelques sites visites chaque jour. Les deux ensemble evitent que le defaut sur ne devienne un obstacle que on desactive entierement par lassitude.

Un filtre contre les scripts injectes d un site dans un autre s ajoute. C est un probleme different des traqueurs ordinaires et cela compte sur les sites qui acceptent des contributions, ou un attaquant peut faire entrer du code dans une page que d autres lisent.

Ce que cela coute et a qui cela convient

Le prix est reel et doit etre dit. Beaucoup de sites cassent visiblement quand les scripts manquent: menus qui ne ouvrent pas, formulaires qui ne partent pas, lecteurs qui affichent un rectangle noir. La premiere visite devient un exercice d autorisations une par une, et certains sites ne fonctionnent jamais proprement parce que ils supposent un environnement de scripts actif de bout en bout.

Cela en fait un mauvais defaut pour qui veut un navigateur qui se comporte comme un appareil menager. Cela convient a ceux qui acceptent quelques minutes de reglage par nouveau site en echange de savoir ce qui tourne, et a tous ceux qui lisent un materiel valant plus que la commodite, comme des recherches sur des sujets delicats ou des comptes dont la perte couterait cher.

Les reglages de securite que personne ne comprend finissent desactives. Ce qui survit est ce dont le cout se voit et se regle.

Notes pratiques: accorder d abord une autorisation temporaire et ne passer en durable qu apres plusieurs visites; apres avoir autorise, recharger la page avant de conclure que le site est casse; et si une page resiste, verifier si ce qui est bloque est un tiers plutot que le site lui meme.Prendre ce defaut au serieux revient a configurer le navigateur une fois, puis a vivre avec quelques exceptions.En echange, on garde la capacite de dire ce qui tourne, et une autorisation que on ne sait pas expliquer finit par etre retiree.