Guide NoScript pour Firefox 57+

Le développeur du populaire add-on de sécurité pour Firefox, NoScript, a lancé une version compatible avec Firefox 57 peu après la publication du navigateur Firefox 57.

Il a travaillé avec Mozilla pour créer la nouvelle version de NoScript et des options implémentées pour migrer les paramètres des versions classiques de NoScript vers la nouvelle version.

La version initiale a reçu des critiques mitigées. Certains utilisateurs ont annoncé ces efforts et étaient heureux que NoScript soit disponible pour Firefox 57 et les versions plus récentes, d'autres n'aimaient pas la nouvelle interface utilisateur ni critiqué les fonctionnalités manquantes.

Maintenant que la poussière est retombée, il est temps de publier un guide mis à jour pour NoScript pour Firefox 57 ou plus récent.

Le guide NoScript pour Firefox

NoScript Security Suite est une extension de navigateur Web Firefox conçue pour permettre aux utilisateurs de contrôler le contenu que les sites peuvent exécuter. L'extension bloque l'exécution de JavaScript par défaut, ce qui améliore considérablement la sécurité et la confidentialité. NoScript prend en charge d'autres fonctionnalités, les protections contre les attaques XSS et le détournement de clic, ainsi que d'autres fonctionnalités renforçant la sécurité.

L'interface NoScript

L'interface principale de l'extension a complètement changé dans la nouvelle version. La version classique de NoScript énumérant les connexions répertoriées dans la vue de liste lors de l'activation, la nouvelle version de NoScript utilise une matrice à la place de la manière dont uMatrix gère les connexions.

L’interface affiche une barre d’outils en haut et en dessous la liste des domaines. NoScript répertorie constamment le domaine actuel en haut et en dessous les connexions tierces de la page.

Le symbole de cadenas affiché à côté des domaines indique que la connexion à celui-ci utilise HTTPS. Notez que le symbole de cadenas ne s'affiche pas pour certains niveaux de confiance.

Définition de niveaux de confiance pour les domaines

Chaque domaine répertorié par NoScript dans son interface est associé à un niveau de confiance.

Par défaut - L'exécution de JavaScript est bloquée, tout comme les objets, les supports, les polices et WebGL.
Trusted - Autorise l'exécution de JavaScript et d'autres éléments.
Temporairement approuvé - Autorise l'exécution de JavaScript et le chargement d'autres éléments pour la session ou jusqu'à révocation, selon le premier des deux.
Non approuvé - Tout est bloqué.
Personnalisé - Vous offre des options pour autoriser ou interdire les éléments individuellement. Vous pouvez les rendre temporaires en cliquant sur le bouton "presque invisible" à côté de personnalisé.

Chaque domaine répertorié par NoScript est associé à un niveau de confiance. Un clic sur un autre niveau de confiance dans une ligne le fait basculer automatiquement vers le nouveau.

Les options NoScript révèlent les autorisations prédéfinies pour "par défaut", "approuvé" et "non approuvé".

Là, vous pouvez également modifier les préréglages par défaut en ajoutant ou en supprimant des coches. Les éléments distingués par NoScript sont les suivants:

Script - Tout type de script que le site tente d'exécuter.
Object - La balise d'objet HTML.
Média - Éléments médiatiques.
Frame - Les cadres que le site tente de charger.
Police - Eléments de police.
WebGL - éléments WebGL.
Fetch - demandes qui utilisent les API de récupération.
Autre - inconnu.

La barre d'outils des boutons

Sept boutons sont affichés dans la barre d’outils de la dernière version de NoScript pour Firefox. Ils sont, de gauche à droite:

Fermez l'interface.
Rechargez la page.
Ouvrez les options .
Désactiver les restrictions globalement .
Désactiver les restrictions pour cet onglet.
Définissez tout sur la page sur une confiance temporaire.
Révoquer les autorisations temporaires.

NoScript ajoute automatiquement un élément de menu contextuel au menu contextuel. Son utilisation est limitée cependant; un clic dessus affiche l'interface principale NoScript en haut de l'interface utilisateur du navigateur. Vous pouvez désactiver l'entrée de menu contextuel dans les options.

Utiliser NoScript

Comprendre le fonctionnement des niveaux de confiance NoScript est essentiel pour utiliser l'extension à son plein potentiel.

NoScript indique les éléments bloqués dans son icône lorsque vous chargez des sites dans le navigateur Firefox. Un clic sur l'icône affiche les connexions reconnues par l'extension et les niveaux de confiance de chaque site. Notez que ce ne sont pas toutes les connexions qu'un site établit. Étant donné que vous n'autorisez pas l'exécution de scripts par défaut, les sites peuvent ne pas être en mesure d'initier immédiatement toutes les connexions tierces.

Si vous autorisez l'exécution de scripts sur le domaine principal, vous remarquerez peut-être qu'il tente d'établir des connexions supplémentaires lorsque celles-ci sont chargées.

Conseil : survolez n'importe quel domaine répertorié par NoScript et cliquez dessus pour ouvrir une page pleine de liens vers des services de confidentialité et de sécurité uniquement pour afficher des informations sur le domaine.

Il peut ne pas être nécessaire d’apporter des modifications aux niveaux de confiance si le site fonctionne correctement. Vous remarquerez peut-être cependant que certaines fonctionnalités risquent de ne pas fonctionner correctement lors de la première connexion.

Comme les scripts et autres éléments sont bloqués par défaut, vous remarquerez peut-être toutes sortes de problèmes liés à cela. Les sites utilisent des scripts et d'autres éléments pour diverses tâches, allant de la vérification des soumissions à des formulaires à la lecture de vidéos, en passant par des vidéos souvent indésirables, telles que la publicité ou le suivi.

Changer le niveau de confiance d'un domaine en "approuvé" ou "approuvé de manière temporaire" lui permet de charger des éléments supplémentaires, tandis qu'un niveau de confiance de "non approuvé" empêche encore plus d'éléments.

Notez que les modifications approuvées et non fiables sont des modifications permanentes disponibles.

Le dépannage d'un site entre en jeu lorsque vous remarquez que la fonctionnalité du site n'est pas disponible et que vous soupçonnez que c'est en raison des protections fournies par NoScript.

Vous avez deux options pour régler le problème. Vous pouvez autoriser temporairement un domaine ou utiliser le niveau de confiance personnalisé pour définir des autorisations individuelles pour des éléments.

Je ne suis pas fan des options "Autoriser tout globalement" ou "Permettre tout pour l'onglet", car elles sont souvent trop larges. Bien qu’ils soient confortables, il suffit d’appuyer sur quelques boutons pour que les sites fonctionnent, mais leur utilisation élimine la plupart des fonctionnalités de protection de NoScript.

NoScript est livré avec une liste blanche qui inclut les sites par défaut. Vous pouvez vérifier dans les options sous "autorisations par site" pour vous assurer que vous leur faites confiance. Il n’existe malheureusement aucune option permettant de supprimer les sites figurant par défaut sur la liste, mais vous pouvez modifier le niveau de confiance à celui de confiance ou même non fiable.

Si vous avez migré depuis une version précédente de NoScript, vous devriez y voir tous les sites personnalisés.

Consultez notre guide sur l’utilisation efficace de NoScript pour obtenir des conseils pour tirer le meilleur parti de cette extension. Il propose dix astuces, par exemple ce que vous pouvez faire si un site ne se charge pas correctement avec NoScript activé.

Les options

Les options sont quelque peu limitées pour le moment, en particulier lorsque vous les comparez aux options de la version classique de NoScript.

Les paramètres NoScript sont actuellement divisés en quatre onglets offrant les fonctionnalités suivantes:

Général - Configurez les autorisations prédéfinies pour les états par défaut, approuvé et non approuvé. Activez également les options "Désactiver les restrictions globalement" et "Définir temporairement les sites de niveau supérieur comme étant approuvés".
Autorisations par site - affiche toutes les autorisations personnalisées (autres que celles par défaut). Recherche incluse.
Apparence - masque l'élément de menu contextuel, désactive le badge de comptage de l'icône et active la liste des adresses complètes dans la fenêtre contextuelle des autorisations.
Avancé - gérez la protection XSS et activez le débogage.

Les options peuvent être réinitialisées, importées ou exportées.