Google a pris la décision d’annuler temporairement la suppression des fenêtres d’alerte du navigateur et d’autres invites créées par les iframes d’origine croisée dans Chrome après une mise à jour de son navigateur a provoqué un tollé de la part des développeurs ainsi que des sites Web et des applications Web cassés.

Comme signalé par Le registre, une iframe, qui est l’abréviation de Inline Frame, est une partie d’une page Web intégrée dans une autre page Web. Cependant, lorsqu’un iframe contient des ressources d’origine différente ou domaine, il s’agit d’un iframe d’origine croisée.

L’équipe Chromium prévoit depuis mars de l’année dernière de limiter les capacités des iframes cross-origin en raison du fait qu’elles constituent un problème de sécurité. En effet, ils permettent à une ressource intégrée telle qu’une annonce d’afficher une invite dans Chrome comme si elle provenait du domaine hôte.

Dans un Avis d’intention de supprimer publié dans un groupe Google l’année dernière, un ingénieur de Google a expliqué comment les iframes d’origine croisée peuvent conduire à des usurpations, en déclarant :

« L’expérience utilisateur actuelle est déroutante et a déjà conduit à des parodies où les sites prétendent que le message provient de Chrome ou d’un autre site Web. La suppression de la prise en charge de la capacité des iframes d’origine croisée à déclencher l’interface utilisateur empêchera non seulement ce type d’usurpation d’identité, mais débloquera également de nouveaux efforts pour rendre la boîte de dialogue plus reconnaissable dans le cadre du site Web plutôt que du navigateur.

Un changement bien intentionné

Alors que la décision de Google de supprimer les fenêtres d’alerte du navigateur et les invites de Chrome était bien intentionnée, sa mise en œuvre a causé des maux de tête à de nombreux développeurs.

Pour éviter l’usurpation d’identité, le géant de la recherche a désactivé JavaScript code dans les iframes d’origine croisée en appelant les méthodes d’alerte, d’invite et de confirmation sur l’objet fenêtre du navigateur qui développeurs web fréquemment utilisé pour afficher les boîtes de dialogue. Cependant, ce changement a cassé de nombreuses applications Web et a frustré les développeurs, c’est pourquoi Google a décidé de l’annuler temporairement. Cependant, la société prévoit de supprimer complètement ces mécanismes rapides à la fois des contextes de même origine et des contextes d’origine croisée dans le but d’éviter qu’ils ne soient abusés.

Avec la sortie de Chrome 92.0.4515.107 plus tôt ce mois-ci, window.alert, window.prompt et window.confirm ont été dépréciés des iframes d’origine croisée. Ce changement a entraîné des problèmes dans un certain nombre d’applications qui utilisent des iframes d’origine croisée pour afficher des alertes, des notifications et des fenêtres de confirmation à leurs utilisateurs.

Pour donner aux développeurs plus de temps pour réécrire leurs applications et leurs sites, Chrome a désormais désactivé son obsolescence jusqu’au 15 août.

Passant par Le registre