Mozilla a décidé que les Trusted Types étaient une fonctionnalité de sécurité digne d’être adoptée.

Mozilla a révisé sa position sur une technologie de sécurité Web appelée Trusted Types, qu’elle a décidé d’implémenter dans son navigateur Firefox. En agissant ainsi, la société de navigateurs aidera à réduire une forme ancienne d’attaque Web qui repose sur du code injecté. « Nous, chez Mozilla, avons effectué une revue approfondie de la spécification et avons l’intention de modifier notre position en faveur de celle-ci », a déclaré Frederik Braun, ingénieur en sécurité de Firefox, dans un message posté sur une discussion des points de vue de Mozilla sur les technologies de navigateur proposées. « Nous sommes convaincus du bilan de Trusted Types en termes de prévention des attaques XSS basées sur le DOM sur les sites Web populaires. » Mozilla n’implémentera pas immédiatement Trusted Types dans Firefox – il reste encore quelques problèmes techniques à régler. Mais la décision de l’organisation est un succès pour la sécurité Web, qui s’améliore depuis mai 2020, date à laquelle Trusted Types a été livré avec Chrome 83 et Edge 83. Opera (basé sur le projet open source Chromium, comme Edge) a ajouté le support en juin 2020. Trusted Types vise les attaques DOM-XSS, ou les attaques de cross-site scripting basées sur le modèle d’objet document – considérées comme étant à la fois assez dangereuses et assez courantes. Classées premières parmi les risques de sécurité des applications Web OWASP Top Ten en 2017 – dans la catégorie « Injection » – les attaques XSS ont reculé pour devenir la troisième vulnérabilité la plus courante en 2021. Et les attaques XSS devraient devenir moins courantes à mesure que plus de sites Web revoient leur code pour en tirer parti.