Discussion :

[Coriolan]

La bêta de Chrome 70 est disponible et apporte le support du capteur d'empreintes sur Android et Mac
pour les applications Web

Après le lancement tant attendu de Chrome 69, Google a publié jeudi une version bêta de Chrome 70. Au menu, des nouveautés qui devraient intéresser les développeurs comme l’authentification par empreintes digitales et le Shape Detection API. Chrome 70 Beta est disponible pour Android, Chrome OS, Linux, macOS et Windows.

Authentification web dans Google Chrome

L’équipe de développement de Chrome a mis à jour l’API Web Authentification pour inclure un troisième type d’identifiant, PublicKeyCredential, pour compléter les deux autres déjà supportés, PasswordCredential et FederatedCredential.

Le type PublicKeyCredential « permet aux applications Web de créer et d'utiliser des informations d'identification solides, certifiées par cryptographie et étendues aux applications pour authentifier fortement les utilisateurs », explique Google. La nouveauté ici est que l’API va prendre en charge désormais le lecteur d'empreintes digitales Android et le capteur macOS TouchID, ce qui signifie que les sites Web implémentant l'API d'authentification Web pourront lire le justificatif PublicKeyCredential transmis par l'un de ces capteurs biométriques pour connecter l'utilisateur. Cette protection est souvent considérée comme étant plus forte que les mauvais mots de passe, mais elle peut être vulnérable à plusieurs attaques.

Google n’est pas le seul à travailler sur technologie qui est basée sur WebAuthn, une nouvelle API et une norme Web permettant d’intégrer les dispositifs de sécurité à l’authentification de site Web.

Autres nouveautés

Chrome 70 implémente l’API de détection de forme capable de détecter automatiquement un visage, un code barre ou encore lire du texte dans les images.

Tous comme Chrome 69 pour iOS, Chrome 70 bêta pour Android va retirer le numéro de build de l’OS de l’utilisateur-agent que le navigateur envoie aux sites web visité. Cette mesure vise à renforcer la confidentialité en limitant le traçage des utilisateurs avec la technique du fingerprinting. Il s’agit d’une des nombreuses techniques d'empreinte digitale de navigateur qui permettent aux sites web d'identifier et de suivre les internautes lors de leur navigation sur le web même lorsque les internautes désactivent ou effacent leurs témoins (cookies). Cette mesure améliorerait aussi la sécurité en rendant plus difficile l’exploitation de vulnérabilités de versions spécifiques du système d’exploitation.

Un autre changement concerne le Plein écran, le mode sera suspendu automatiquement lorsque des boîtes de dialogue seront affichées.

Chrome 70 bêta implémente le TLS 1.3, une version améliorée du protocole de sécurité web qui est devenu un standard officiel en août. TLS 1.3 améliore à la fois l'efficacité et la sécurité puisqu’il constitue une refonte du protocole TLS avec une conception plus simple, moins sujette aux erreurs.

Chrome ajoute aussi le support du codec Opus dans le conteneur mp4 via l’API Media Source Extensions, et apporte le support du Bluetooth Web dans Windows 10 grâce auquel il sera capable de communiquer avec les objets compatibles situés à proximité.

Les utilisateurs les plus impatients peuvent tester ces nouveautés en installant la version bêta, pour les autres, il faudra attendre encore quelques semaines avant la publication de la version stable.

Source : blog Chromium

Et vous ?

Qu’en pensez-vous ?

Voir aussi

Chrome 69 : Google va afficher à nouveau les sous-domaines "www" dans la barre d'adresse, mais ce n'est que temporaire
Google Chrome fête ses 10 ans ! Petit retour sur les promesses d'un nouveau venu sur le marché des navigateurs qui voulait révolutionner le Web
Chrome ne va plus afficher le label « Sécurisé » pour les connexions HTTPS à compter de septembre 2018
Le lazy loading d'images et iframes débarque dans Chrome Canary pour des vitesses de chargement de pages Web en hausse de 18 à 35 %

[Stéphane le calme]

Google annonce la disponibilité générale de Chrome 70 qui apporte le support des PWA sur Windows,
et un décodeur AV1

Google a amorcé le déploiement de la version générale de Chrome 70 sur les plateformes Windows, Mac et Linux. Cette version s’accompagne de nouveautés, d’améliorations et bien entendu de corrections de bogues.

Authentification web dans Google Chrome

L’équipe de développement de Chrome a mis à jour l’API Web Authentification pour inclure un troisième type d’identifiant, PublicKeyCredential, pour compléter les deux autres déjà supportés, PasswordCredential et FederatedCredential.

Le type PublicKeyCredential « permet aux applications Web de créer et d'utiliser des informations d'identification solides, certifiées par cryptographie et étendues aux applications pour authentifier fortement les utilisateurs », explique Google. La nouveauté ici est que l’API va prendre en charge désormais le lecteur d'empreintes digitales Android et le capteur macOS TouchID, ce qui signifie que les sites Web implémentant l'API d'authentification Web pourront lire le justificatif PublicKeyCredential transmis par l'un de ces capteurs biométriques pour connecter l'utilisateur. Cette protection est souvent considérée comme étant plus forte que les mauvais mots de passe, mais elle peut être vulnérable à plusieurs attaques.

Google n’est pas le seul à travailler sur technologie qui est basée sur WebAuthn, une nouvelle API et une norme Web permettant d’intégrer les dispositifs de sécurité à l’authentification de site Web.

Connexion automatique

Dans Chrome 69, Google a tenté de « simplifier » la gestion des connexions à un site de Google en vous connectant également à Chrome avec le même compte. Si vous vous déconnectiez, que ce soit sur Chrome ou sur un site Google, vous êtes déconnecté des deux.

À propos de la connexion automatique à Chrome, Google a d'abord voulu donner des précisions. Dans un billet de blog, Zach Koch, directeur des produits Chrome assure que la connexion automatique à Chrome quand vous vous connectez à Gmail « ne signifie pas que la synchronisation Chrome est activée ». Ainsi, « les utilisateurs qui souhaitent que des données telles que leur historique de navigation, leurs mots de passe et leurs bookmarks soient disponibles sur d'autres appareils doivent prendre des mesures supplémentaires, telles que l'activation de la synchronisation. »

Il explique donc que ce changement a été effectué juste pour rappeler aux utilisateurs quel compte Google est connecté. Ce qui est important pour mieux aider les utilisateurs qui partagent un seul périphérique (par exemple, un ordinateur familial). « Nous pensons que ces modifications empêchent les utilisateurs d'effectuer des recherches ou naviguer par inadvertance sur des sites Web pouvant être enregistrés sur le compte synchronisé d'un autre utilisateur », dit-il.

Chrome 70 apporte donc trois modifications:

• Une option (voir ci-dessous) qui permet aux utilisateurs de désactiver la liaison de la connexion Web avec la connexion via un navigateur. Si vous désactivez cette fonctionnalité, la connexion à un site Google ne vous connectera pas à Chrome.
  
  
  
• Une mise à jour de l’interface utilisateur (voir ci-dessous) pour préciser si l'utilisateur connecté à Chrome a synchronisé des données telles que des mots de passe, numéros de cartes de crédit, adresses et historique de navigation avec un compte Google.
  
  
  
• Au lieu de conserver les cookies d'authentification de Google pour vous permettre de rester connectés après leur suppression, comme le fait Chrome 69, le navigateur supprime à nouveau tous les cookies.

Malheureusement, Google semble ne pas avoir bien cerné le problème. Les trois modifications constituent certes une amélioration, mais la première ne résout pas le problème principal : la connexion automatique est toujours activée par défaut. Les utilisateurs de Chrome ne devraient pas avoir à désactiver la connexion automatique s'ils utilisent des sites Google, mais plutôt à l'activer s'ils le souhaitent.

Support des Progressive Web App

Google a ajouté une multitude de nouvelles fonctionnalités dans Chrome 70. Le navigateur prend désormais en charge les applications Web progressives (PWA) sous Windows. Ces applications peuvent être lancées à partir du menu Démarrer et s’exécuter comme toutes les autres applications installées (sans barre d’adresse ni onglets). Google avait pris la décision d'arrêter le support des applications Chrome sur Windows, MacOS et Linux cette année. Les extensions et les thèmes de Chrome ne seront pas affectés, tandis que les applications Chrome continueront de s'exécuter dans Chrome OS. L'entreprise a décidé de se focaliser sur le PWA à la place.

Pour les développeurs, vous pouvez parcourir les critères PWA standard qui seront vérifiés par Chrome.

Support du codec AV1

Pour concurrencer le format vidéo HEVC (la norme de compression vidéo qui était annoncée comme le successeur du H.264/MPEG-4 AVC) et pour répondre à la problématique de l’interopérabilité, en 2015, des entreprises comme Google, Netflix, Amazon, Microsoft ou plus tard Apple, se sont mises ensemble au sein de l’association Alliance for Open Media (en abrégé AOMedia, un organisme à but non lucratif qui s'emploie à définir et développer la prochaine génération de formats média ouverts, sans redevances et optimisés pour une publication sur Internet) afin de développer un format vidéo ouvert et libre de droit : AOMedia Video (en abrégé AV1), pour des usages liés à Internet tels que le streaming ou WebRTC.

« Le codec vidéo AOMedia, AV1, la première norme de compression vidéo de l'Alliance, s'efforce d'offrir une efficacité de compression améliorée par rapport aux normes actuelles de compression vidéo HEVC/H.265 et VP9, en plus de fournir à l'industrie un format vidéo open source, libre et interopérable. Nous sommes fiers de travailler de concert avec nos pairs et partenaires de l'industrie pour offrir plus efficacement une meilleure qualité de vidéo à plus de clients », indiquait en juillet 2017 Tian Lim, qui était alors le directeur de la technologie chez Hulu.

Le 28 mars 2018, AOMedia a annoncé la publication officielle de AV1, son codec vidéo ouvert et libre de droit.

D'après des tests commandités par AOMedia, le taux de compression moyen d'AV1 par rapport au codec concurrent H.265/HEVC ou aux codecs de la génération précédente (H.264 et VP9) est 30% supérieur.

Chrome 70 ajoute un décodeur AV1 (aucune fonctionnalité de codage n’est incluse) avec MP4 comme conteneur pris en charge (ISO-BMFF). Vous pouvez l’essayer vous-même en vous inscrivant sur la page TestTube de YouTube.

Correctifs de sécurité et améliorations

Comme promis, Google s'attaque aux extensions. Chrome 70 permet aux utilisateurs de limiter l'accès des hôtes aux extensions à une liste de sites personnalisée ou de configurer les extensions de manière à exiger un clic pour accéder à la page en cours.

Les autorisations d'hôte, qui permettent aux extensions de lire et de modifier automatiquement des données sur des sites Web, permettent divers cas d'utilisation puissants et créatifs, mais Google indique qu'elles ont également conduit à un large éventail d'utilisations malveillantes et non intentionnelles. Dans les versions ultérieures de Google Chrome, Google prévoit d’améliorer encore la manière dont son navigateur gère l’expérience utilisateur en matière de permissions d’hôte. Si votre extension demande des autorisations d’hôte, consultez le guide de transition et apportez les modifications nécessaires au cours des deux prochaines semaines.

Google poursuit sa croisade contre le HTTP avec Chrome 70

HTTPS est une version plus sécurisée du protocole HTTP utilisé sur Internet pour connecter les utilisateurs aux sites Web. Les connexions sécurisées sont généralement considérées comme une mesure nécessaire pour réduire le risque que les utilisateurs soient vulnérables à l'injection de contenu (ce qui peut entraîner des écoutes clandestines, des attaques de type "man-in-the-middle" et d'autres modifications de données). Les données sont protégées contre les tiers et les utilisateurs peuvent avoir davantage confiance en leur capacité de communiquer avec le site Web approprié.

Google fait évoluer le Web vers HTTPS depuis des années, mais il a accéléré ses efforts l’année dernière en modifiant l’interface utilisateur de Chrome. Chrome 56, publié en janvier 2017, a commencé à marquer les pages HTTP collectant les mots de passe ou les cartes de crédit comme étant « non sécurisés ». Chrome 62, publié en octobre 2017, a commencé à marquer les sites HTTP avec les données saisies et tous les sites HTTP visualisés en mode de navigation privée comme étant « non sécurisés ». Chrome 68, publié en juillet, marque tous les sites HTTP comme comme étant « non sécurisés » directement dans la barre d'adresse, et Chrome 69, publié en septembre, a supprimé le libellé « sécurisé » des sites HTTPS.

Désormais, avec la sortie de Chrome 70, les sites HTTP affichent un avertissement rouge « Non sécurisé » lorsque les utilisateurs saisissent des données :

Côté développeurs

Chrome 70 implémente l’API Shape Detection (détection de forme) capable de détecter automatiquement un visage, un code barre ou encore lire du texte dans les images « sans utiliser de bibliothèque destructrice ». L'API est composée de trois API : une API Face Detection, une API Barcode Detection et une API Text Detection. Avec une image bitmap ou un blob, l'API de détection de visage renvoie l'emplacement des visages et des yeux, des nez et des bouches dans ces visages (vous pouvez limiter le nombre de visages renvoyés et donner la priorité à la vitesse par rapport à la performance). L'API de détection de code à barres décode les codes à barres et les codes QR en chaînes (du simple jeu de chiffres au texte multiligne). L'API de détection de texte lit le texte Latin-1 (conformément à la norme ISO8859-1) dans les images.

Source : Google

Voir aussi :

Google va facturer des frais de licence pour préinstaller YouTube, Docs et GMail sans Chrome et Search app dans les pays de l'UE pour se conformer
Les versions 70 à 73 de Google Chrome ne prendront pas les certificats HTTPS Symantec en charge : des milliers de sites mis à mal
Firefox 64 va marquer le début du support du centre de notifications et d'actions de Windows 10, et va emboîter le pas à Google Chrome
Google lance en bêta-test son service de streaming de jeux vidéo via Chrome, Project Stream va inaugurer le jeu Assassin's Creed Odyssey d'Ubisoft
Extensions Chrome : Google annonce des changements à venir qui visent à améliorer la sécurité, ainsi que l'expérience utilisateur

[Asmodan]

Je vais tester le décodage AV1 : j'attends de voir si les promesses sont au rendez vous !

[Stéphane le calme]

Chrome 70 : petit retour sur les nouveautés apportées aux développeurs,
notamment les PWA desktop ou la possibilité de nommer les workers

Cela ne fait que quelques jours que Google a amorcé la diffusion de Chrome 70. Pete LePage, Developer Advocate Chrome (dont le rôle est d’aider les utilisateurs à se servir du logiciel de manière simple et aisée), est revenu sur les nouveautés. Bien entendu, il y en a beaucoup plus, mais il a concentré son attention sur trois d'entre elles.

Progressive Web Apps (PWA) desktop sur Windows et Linux

Les utilisateurs peuvent maintenant installer des PWA sur Windows et Linux ! Une fois installées, elles sont lancées à partir du menu Démarrer et fonctionnent comme toutes les autres applications installées, c’est-à-dire sans barre d’adresse ni onglets. Les Service Workers s’assurent qu’elles sont rapides et fiables. L’utilisateur aura une expérience qui se rapproche de celle qu’il a avec toute autre application installée.

Pour ceux qui vont s’y mettre, LePage assure que ce n'est pas différent de ce que vous faites déjà aujourd'hui. Tout le travail que vous avez effectué pour votre PWA s'applique toujours ! Si votre application répond aux critères PWA standard, Chrome déclenchera l'événement beforeinstallprompt. Il vous faudra alors enregistrer l'événement, puis ajouter une interface utilisateur (comme un bouton d’installation d’une application) pour indiquer à l’utilisateur que votre application peut être installée. Ensuite, lorsque l'utilisateur clique sur le bouton, appelez prompt () sur l'événement enregistré. Chrome montrera ensuite l'invite à l'utilisateur. S'il clique sur Ajouter, Chrome ajoutera votre PWA à son menu de démarrage et à son bureau.

Pourquoi créer des PWA desktop ?

Le mobile a largement contribué à l'évolution des applications Web progressives. Mais si la croissance du mobile a été si forte, l'utilisation des ordinateurs de bureau continue de croître. Le téléphone portable atteint un pic d’utilisation le matin et le soir et la tablette est également beaucoup plus utilisée le soir. L'utilisation d’un poste de travail est mieux répartie tout au long de la journée que celle du mobile. Il a une utilisation significative pendant la journée lorsque la plupart des gens sont au travail et à leur bureau.

Avoir cette « configuration » native est important pour les utilisateurs, cela leur donne la certitude que l’application sera rapide, intégrée, fiable et attrayante. Les PWA desktop peuvent être lancées à partir du même endroit que les autres applications de bureau, mais elles s'exécutent dans une fenêtre d'applications (elles ont donc l'apparence d'autres applications sur le bureau).

API de gestion des informations d'identification : informations d'identification de clé publique

L'API de gestion des informations d'identification simplifie la connexion des utilisateurs. Il permet à votre site d’interagir avec le gestionnaire des informations d’identité du navigateur ou les services de comptes fédérés tels que Google et Facebook afin que vous puissiez vous identifier.

Chrome 70 prend en charge un troisième type d'informations d'identification, à savoir les informations d'identification de clé publique, qui permettent aux applications Web de créer et d'utiliser des informations d'identification fortes, attestées de manière cryptographique et à la portée de l'application, pour authentifier fortement les utilisateurs.

LePage se montre plutôt enthousiaste à ce sujet car cela permet aux sites d'utiliser l’empreinte digitale pour une authentification à 2 facteurs. En outre, cela ajoute également un support pour des types supplémentaires de clés de sécurité et une meilleure sécurité sur le Web.

Ceux qui veulent faire un essai peuvent aller sur la WebAuthn Demo.

Nommer les workers

Les workers sont un moyen facile de déplacer JavaScript du fil principal vers l'arrière-plan. Cela est essentiel pour garder votre site interactif, car cela signifie que le fil principal ne sera pas verrouillé lorsqu’il exécutera un calcul JavaScript coûteux ou complexe.

Dans Chrome 70, les workers ont maintenant un attribut name, spécifié par un argument optionnel sur le constructeur.

Code Javascript :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
const url = '/scripts/my-worker.js';
 
const wNYC = new Worker(url, {name: 'NewYork'});
 
const oSF = {name: 'SanFrancisco'};
const wSF = new Worker(url, oSF);

Cela vous permet de distinguer les workers dédiés par leur nom lorsque vous avez plusieurs workers avec la même URL. Vous pouvez également imprimer le nom dans la console DevTools, ce qui permet de savoir plus facilement quel worker vous êtes en train de déboguer !

Il est déjà possible de nommer les worker dans Firefox, Edge et Safari.

Source : Google

Voir aussi :

Google va facturer des frais de licence pour préinstaller YouTube, Docs et GMail sans Chrome et Search app dans les pays de l'UE pour se conformer
Les versions 70 à 73 de Google Chrome ne prendront pas les certificats HTTPS Symantec en charge : des milliers de sites mis à mal
Firefox 64 va marquer le début du support du centre de notifications et d'actions de Windows 10, et va emboîter le pas à Google Chrome
Google lance en bêta-test son service de streaming de jeux vidéo via Chrome, Project Stream va inaugurer le jeu Assassin's Creed Odyssey d'Ubisoft
Extensions Chrome : Google annonce des changements à venir qui visent à améliorer la sécurité, ainsi que l'expérience utilisateur

[sami_c]

bah sous Ubuntu, chrome a encore du mal à gérer un grand nombre de mot de passes sauvegardés : ils met plusieurs secondes pour me proposer mes codes d'authentification sur facebook ou autre, alors qu'avec firefox c'est instantané !