Mozilla décide que les types de confiance sont une fonctionnalité de sécurité digne d’intérêt.

Mozilla a revu sa position sur une technologie de sécurité Web appelée Trusted Types, qu’elle a décidé d’implémenter dans son navigateur Firefox. En agissant ainsi, la société de navigateurs aidera à réduire une forme ancienne d’attaque Web qui repose sur du code injecté. «Nous, chez Mozilla, avons effectué une revue approfondie de la spécification et avons l’intention de modifier notre position en la faveur de cette dernière», a déclaré Frederik Braun, ingénieur en sécurité de Firefox, dans un message posté sur une discussion sur les points de vue de Mozilla sur les technologies de navigateur proposées. «Nous sommes convaincus du bilan de Trusted Types en termes de prévention des injections XSS en DOM sur des sites Web populaires.» Mozilla n’implémentera pas immédiatement Trusted Types dans Firefox – il reste encore quelques problèmes techniques à résoudre. Mais la décision de l’organisation est une victoire pour la sécurité Web, qui s’améliore depuis mai 2020, date à laquelle Trusted Types a été expédié dans Chrome 83 et Edge 83. Opera (basé sur le projet open source Chromium, comme Edge) a ajouté une prise en charge en juin 2020. Trusted Types s’attaque aux injections XSS en DOM (ou cross-site scripting en document object model), considérées à la fois comme assez dangereuses et assez courantes. Classées premières parmi les risques de sécurité des applications Web OWASP Top Ten en 2017 – dans la catégorie «Injection» – les attaques XSS ont reculé au troisième rang des vulnérabilités les plus courantes en 2021. Et les attaques XSS devraient devenir moins courantes à mesure que plus de sites Web revoient leur code pour en tirer parti.