La position de Mozilla concernant l'attribut « ping » pour l'audit des hyperliens

Le portail Bleeping Computer a contacté Mozilla et a clarifié la position concernant le mécanisme de suivi des clics sur les hyperliens via l'attribut «ping», dont le support dans Firefox est actuellement désactivé par défaut. L'intérêt pour l'attribut «ping» est né après la suppression des options pour le désactiver dans Chrome et Safari.

Des représentants de Mozilla ont déclaré :

Nous convenons que l'activation de l'attribut «ping», généralement utilisé pour l'audit des hyperliens, n'est pas une question de confidentialité, mais un enjeu d'amélioration de l'expérience utilisateur en fournissant aux sites web une solution d'audit des hyperliens plus optimale, sans la baisse de performance liée à d'autres méthodes de suivi des clics, énumérées dans de la publication le blog des développeurs WebKit. En fait, nous prenons déjà en charge l'API sendBeacon et la raison pour laquelle nous n'activons pas encore l'attribut «ping» est que notre mise en œuvre de cette fonction n'est pas encore prête..

Nous ne pensons pas que le simple fait de fournir une option pour désactiver l'attribut ping entraînera une amélioration significative de la confidentialité de l'utilisateur, car les sites peuvent (et le font souvent déjà) déterminer les différents mécanismes de suivi des hyperliens pris en charge dans chaque navigateur, et désactiver des mécanismes plus «conviviales» pour l'utilisateur ne fera que les amener à recourir à des mécanismes moins «conviviales», sans désactiver l'audit des hyperliens lui-même.

Lorsqu'il est utilisé dans la balise «a href», l'attribut «ping=URL» permet au navigateur de former une requête POST vers l'URL spécifiée dans l'attribut, en transmettant via l'en-tête HTTP_PING_TO des informations sur le clic qui a eu lieu. Sans l'attribut ping, les sites peuvent réaliser l'audit des hyperliens en remplaçant le lien réel par un lien intermédiaire ou en envoyant des informations via des appels XMLHttpRequest ou sendBeacon, ce qui est déjà largement utilisé dans la recherche Google, lors des clics sur des liens externes dans le réseau social VK et dans le dépôt des extensions de navigateur addons.mozilla.org. Étant donné que ce type de substitution peut être effectué en cachant le lien intermédiaire à l'aide de JavaScript, tout comme avec l'attribut ping, il est impossible de déterminer si l'audit est appliqué au lien courant sans analyser le code.

Source : opennet.ru