Исходное сообщение
"Новые Web API в Firefox будут доступны только для HTTPS" Отправлено opennews, 16-Янв-18 11:40
Компания Mozilla объявила (https://blog.mozilla.org/security/2018/01/15/secure-contexts.../) о применении принципа защищённого контекста (https://developer.mozilla.org/en-US/docs/Web/Security/Secure...) (Secure Context) к новым Web-технологиям, которые будут появляться в будущих выпусках Firefox. Secure Context подразумевает, что ряд возможностей для web-разработки станут доступны только при открытии с использованием защищённого соединения. По мнению разработчиков, данная тактика позволит ускорить повсеместный переход сайтов на HTTPS, а в случае доступа по HTTP усложнят проведение атак, которые могут привести к утечке персональных данных или получения низкоуровневого доступа к оборудованию. По возможности все новшества теперь будут привязываться к HTTPS, в том числе новые CSS-свойства, расширения существующих объектов JavaScript,  новые  HTTP-заголовки и новые Web API (например, WebVR). Привязка к HTTPS также может быть обеспечена и для уже присутствующих возможностей, доступ к которым по HTTP сопряжёт с угрозами для безопасности и приватности. При этом предусмотрен ряд исключений, которые могут быть приняты если возможность уже доступна в других браузерах без привязки   к Secure Context или если применение ограничений приводит к чрезмерной сложности в реализации. Например, новое CSS-свойство color, вероятно останется доступно для HTTP. В настоящее время только для HTTPS доступны (https://developer.mozilla.org/en-US/docs/Web/Security/Secure...) такие API, как Geolocation, Service workers и Storage, так как использование данных API по незашифрованным каналам связи сопряжено с рисками, связанными с безопасностью и приватностью. На этапе рассмотрения находится перевод в Secure Context функций Encrypted Media Extensions (https://bugzilla.mozilla.org/show_bug.cgi?id=1322517) и Web Crypto API (https://bugzilla.mozilla.org/show_bug.cgi?id=1333140). Уже утверждён перевод в Secure Context  интерфейсов   Generic sensor API, Credential Management Level 1 и Web NFC API. Для определения доступности тех или иных возможностей при обращении HTTP предлагается (https://developer.mozilla.org/en-US/docs/Learn/Tools_and_tes...) использовать CSS-правила @supports, которое рекомендуется как более предпочтительный вариант, чем API  self.isSecureContext. Для упрощения перехода на Secure Context и обеспечения локального тестирования без HTTPS будет предоставлен специальный инструментарий (https://bugzilla.mozilla.org/show_bug.cgi?id=1410365). URL: https://blog.mozilla.org/security/2018/01/15/secure-contexts.../ Новость: http://www.opennet.ru/opennews/art.shtml?num=47913