Google a dévoilé la sortie du navigateur Web Chrome 101. Parallèlement, une version stable du projet gratuit Chromium, qui sert de base à Chrome, est disponible. Le navigateur Chrome se distingue de Chromium par l'utilisation des logos Google, la présence d'un système d'envoi de notifications en cas de crash, de modules de lecture de contenu vidéo protégé contre la copie (DRM), d'un système d'installation automatique des mises à jour, permettant en permanence l'isolation Sandbox , fournissant les clés de l'API Google et transmettant les paramètres RLZ- lors de la recherche. Pour ceux qui ont besoin de plus de temps pour mettre à jour, il existe une branche Extended Stable distincte, suivie de 8 semaines, qui constitue une mise à jour de la version précédente de Chrome 100. La prochaine version de Chrome 102 est prévue pour le 24 mai.
Changements clés dans Chrome 101 :
- Ajout de la fonction Side Search, qui permet d'afficher les résultats de la recherche dans la barre latérale simultanément avec l'affichage d'une autre page (dans une fenêtre, vous pouvez voir simultanément à la fois le contenu de la page et le résultat de l'accès au moteur de recherche). Après avoir accédé à un site à partir d'une page de résultats de recherche dans Google, une icône avec la lettre « G » apparaît devant le champ de saisie dans la barre d'adresse ; lorsque vous cliquez dessus, un panneau latéral s'ouvre avec les résultats d'une précédente recherche entreprise. Par défaut, la fonction n'est pas activée sur tous les systèmes ; pour l'activer, vous pouvez utiliser le paramètre « chrome://flags/#side-search ».
- La barre d'adresse d'Omnibox implémente le pré-rendu du contenu des recommandations proposées au fur et à mesure que vous tapez. Auparavant, pour accélérer la transition depuis la barre d'adresse, les recommandations de transition les plus probables étaient chargées sans attendre que l'utilisateur clique, à l'aide de l'appel Prefetch. Désormais, en plus du chargement, ils sont également rendus dans le tampon (y compris les scripts sont exécutés et l'arborescence DOM est formée), ce qui permet un affichage instantané des recommandations après un clic. Pour contrôler le rendu prédictif, les paramètres « chrome://flags/#enable-prerender2 », « chrome://flags/#omnibox-trigger-for-prerender2 » et « chrome://flags/#search-suggestion-for -" sont suggérés. prerender2".
- Les informations contenues dans l'en-tête HTTP User-Agent et les paramètres JavaScript navigator.userAgent, navigator.appVersion et navigator.platform ont été supprimées. L'en-tête contient uniquement des informations sur le nom du navigateur, la version significative du navigateur (les composants de la version MINOR.BUILD.PATCH sont remplacés par 0.0.0), la plateforme et le type d'appareil (téléphone mobile, PC, tablette). Pour obtenir des données supplémentaires, telles que la version exacte et les données étendues de la plateforme, vous devez utiliser l'API User Agent Client Hints. Pour les sites qui ne disposent pas de suffisamment de nouvelles informations et ne sont pas encore prêts à passer aux astuces client de l'agent utilisateur, ils ont la possibilité de renvoyer l'agent utilisateur complet jusqu'en mai 2023.
- Modification du comportement de la fonction setTimeout lors du passage d'un argument zéro, qui détermine le délai de l'appel. À partir de Chrome 101, lors de la spécification de « setTimeout(…, 0) », le code sera appelé immédiatement, sans le délai de 1 ms requis par la spécification. Pour les appels setTimeout imbriqués répétés, un délai de 4 ms est appliqué.
- La version pour la plateforme Android prend en charge la demande d'autorisations pour afficher les notifications (sous Android 13, pour afficher les notifications, l'application doit disposer de l'autorisation « POST_NOTIFICATIONS », sans laquelle l'envoi de notifications sera bloqué). Lors du lancement de Chrome dans un environnement Android 13, le navigateur vous demandera désormais d'obtenir des autorisations de notification.
- La possibilité d'utiliser l'API WebSQL dans des scripts tiers a été supprimée. Par défaut, le blocage WebSQL dans les scripts non chargés à partir du site actuel était activé dans Chrome 97, mais une option était laissée pour désactiver ce comportement. Chrome 101 supprime cette option. À l’avenir, nous prévoyons de supprimer progressivement et complètement le support de WebSQL, quel que soit le contexte d’utilisation. Il est recommandé d'utiliser les API Web Storage et Indexed Database au lieu de WebSQL. Le moteur WebSQL est basé sur le code SQLite et pourrait être utilisé par des attaquants pour exploiter les vulnérabilités de SQLite.
- Suppression des noms de stratégie d'entreprise (chrome://policy) qui contenaient des termes non inclusifs. À partir de Chrome 86, des politiques de remplacement ont été proposées pour ces politiques qui utilisent une terminologie inclusive. Les termes tels que « liste blanche », « liste noire », « natif » et « maître » ont été nettoyés. Par exemple, la stratégie URLBlacklist a été renommée URLBlocklist, AutoplayWhitelist en AutoplayAllowlist et NativePrinters en Printers.
- En mode Origin Trials (fonctionnalités expérimentales nécessitant une activation séparée), les tests de l'API Federated Credential Management (FedCM) n'ont jusqu'à présent commencé que dans les assemblys pour la plate-forme Android, ce qui vous permet de créer des services d'identité unifiés qui garantissent la confidentialité et fonctionnent sans croisement. -mécanismes de suivi du site, tels que le traitement des cookies tiers. Origin Trial implique la possibilité de travailler avec l'API spécifiée à partir d'applications téléchargées depuis localhost ou 127.0.0.1, ou après enregistrement et réception d'un jeton spécial valable pour une durée limitée pour un site spécifique.
- Le mécanisme d'indices de priorité a été stabilisé et proposé à tous, vous permettant de définir l'importance d'une ressource téléchargée particulière en spécifiant l'attribut « importance » supplémentaire dans des balises telles que iframe, img et link. L'attribut peut prendre les valeurs « auto » et « low » et « high », qui affectent l'ordre dans lequel le navigateur charge les ressources externes.
- Ajout de la propriété AudioContext.outputLatency, grâce à laquelle vous pouvez trouver des informations sur le délai prévu avant la sortie audio (le délai entre la demande audio et le début du traitement des données reçues par le périphérique de sortie audio).
- Ajout de la propriété CSS font-palette et de la règle @font-palette-values , vous permettant de sélectionner une palette à partir d'une police de couleur ou de définir votre propre palette. Par exemple, cette fonctionnalité peut être utilisée pour faire correspondre des polices de caractères colorées ou des emoji à la couleur du contenu, ou pour activer un mode sombre ou clair pour une police.
- Ajout de la fonction CSS hwb(), qui fournit une méthode alternative pour spécifier les couleurs sRVB au format HWB (Hue, Whiteness, Blackness), similaire au format HSL (Hue, Saturation, Lightness), mais plus facile pour la perception humaine.
- Dans la méthode window.open(), spécifier la propriété popup dans la ligne windowFeatures, sans attribuer de valeur (c'est-à-dire en spécifiant simplement popup plutôt que popup=true) est désormais traité comme permettant l'ouverture d'une fenêtre contextuelle miniature (analogue à " popup=true") en attribuant plutôt la valeur par défaut "false", ce qui était illogique et trompeur pour les développeurs.
- L'API MediaCapabilities, qui fournit des informations sur les capacités de l'appareil et du navigateur pour décoder le contenu multimédia (codecs, profils, débits binaires et résolutions pris en charge), a ajouté la prise en charge des flux WebRTC.
- Une troisième version de l'API Secure Payment Confirmation a été proposée, fournissant des outils de confirmation supplémentaire de la transaction de paiement en cours. La nouvelle version ajoute la prise en charge des identifiants qui nécessitent la saisie de données, la définition d'une icône pour indiquer l'échec de la vérification et une propriété payeeName facultative.
- Ajout de la méthode Forget() à l'API USBDevice pour révoquer les autorisations précédemment accordées par l'utilisateur pour accéder à un périphérique USB. De plus, les instances USBConfiguration, USBInterface, USBAlternateInterface et USBEndpoint sont désormais égales en comparaison stricte ("===", pointez vers le même objet) si elles sont renvoyées pour le même objet USBDevice.
- Des améliorations ont été apportées aux outils destinés aux développeurs Web. La possibilité d'importer et d'exporter les actions utilisateur enregistrées au format JSON est fournie (exemple). Le calcul et l'affichage des propriétés privées ont été améliorés dans la console web et l'interface de visualisation du code. Ajout de la prise en charge de l'utilisation du modèle de couleur HWB. Ajout de la possibilité d'afficher les calques en cascade définis à l'aide de la règle @layer dans le panneau CSS.
En plus des innovations et des corrections de bugs, la nouvelle version élimine 30 vulnérabilités. De nombreuses vulnérabilités ont été identifiées à la suite de tests automatisés utilisant les outils AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer et AFL. Aucun problème critique n'a été identifié qui permettrait de contourner tous les niveaux de protection du navigateur et d'exécuter du code sur le système en dehors de l'environnement sandbox. Dans le cadre du programme de récompense en espèces pour la découverte des vulnérabilités de la version actuelle, Google a versé 25 récompenses d'une valeur de 81 10000 $ (une récompense de 7500 7000 $, trois récompenses de 6000 5000 $, trois récompenses de 2000 1000 $, une récompense de 500 6 $, deux récompenses de XNUMX XNUMX $, quatre récompenses de XNUMX XNUMX $, trois prix de XNUMX XNUMX $ et un prix de XNUMX $). La taille des XNUMX récompenses n’a pas encore été déterminée.
Source: opennet.ru