Mozilla décide que les types de confiance sont une fonctionnalité de sécurité digne d’être adoptée.

Mozilla a revu sa position sur une technologie de sécurité Web appelée Trusted Types, qu’elle a décidé d’implémenter dans son navigateur Firefox. En agissant ainsi, la société de navigation Web aidera à réduire une forme ancienne d’attaque Web qui repose sur du code injecté. « Nous, chez Mozilla, avons effectué une revue approfondie de la spécification et avons l’intention de modifier notre position en matière de normes en la rendant positive », a déclaré Frederik Braun, ingénieur en sécurité Firefox, dans un message posté sur une discussion sur les points de vue de Mozilla sur les technologies de navigateur proposées. « Nous sommes convaincus du dossier de Trusted Types en termes de prévention des XSS basés sur le DOM sur les sites Web populaires. » Mozilla n’implémentera pas immédiatement Trusted Types dans Firefox – il reste encore quelques problèmes techniques à résoudre. Mais la décision de l’organisation est une victoire pour la sécurité Web, qui a été en hausse depuis mai 2020, lorsque Trusted Types a été livré avec Chrome 83 et Edge 83. Opera (basé sur le projet open source Chromium, comme Edge) a ajouté le support en juin 2020. Trusted Types aborde le XSS basé sur le DOM, ou le cross-site scripting basé sur le modèle objet document – considéré comme étant à la fois assez dangereux et assez courant. Classé premier parmi les risques de sécurité des applications Web OWASP Top Ten en 2017 – dans la catégorie « Injection » – les attaques XSS ont chuté pour devenir la troisième vulnérabilité la plus courante en 2021. Et les attaques XSS devraient devenir moins courantes à mesure que plus de sites Web modifieront leur code pour profiter de Trusted Types.