La durée de vie maximale des certificats TLS publics sera progressivement réduite à 200 jours en 2026, puis à 47 jours en 2029, rendant le renouvellement manuel intenable. Cette décision, adoptée par le CA/Browser Forum, impose un calendrier strict sans dérogation, avec une validation de domaine (DCV) réutilisable seulement 10 jours à partir de 2029. Les autorités de certification, co-sponsors de cette mesure, privilégient désormais des modèles économiques basés sur des souscriptions et des plateformes de gestion automatisée.
Le renouvellement manuel, autrefois annuel, devient ingérable avec des échéances semestrielles dès 2026, trimestrielles en 2027, puis toutes les six semaines en 2029. Les infrastructures automatisées, comme ACM sur AWS ou ACME, deviennent indispensables pour éviter les interruptions de service. Un exemple concret illustre cette contrainte : un certificat wildcard hérité, géré manuellement, a nécessité une intervention urgente en raison de sa durée de vie désormais limitée.
Cette transition, motivée par des impératifs de sécurité (réduction des fenêtres d’exploitation des clés compromises), s’aligne aussi avec les intérêts commerciaux des autorités de certification. Leur modèle évolue vers des abonnements et des solutions de gestion centralisée, rendant les processus manuels obsolètes et coûteux.
CORS est souvent mal compris : ce n’est pas un mécanisme qui protège une API contre des attaques, mais une sécurité implémentée par le navigateur pour empêcher des sites malveillants d’effectuer des requêtes en utilisant les données ou la session d’un utilisateur à son insu. Concrètement, le serveur répond normalement aux requêtes, mais le navigateur bloque l’accès à la réponse côté JavaScript si les en-têtes CORS ne sont pas autorisés, ce qui signifie qu’une API reste accessible en dehors du navigateur (via curl, serveur backend, etc.) et doit donc être sécurisée par d’autres moyens comme l’authentification. L’idée clé est que CORS sert à protéger les utilisateurs contre des abus cross-origin (comme le CSRF), pas à restreindre l’accès réel à une API, d’où l’importance de ne pas le considérer comme une barrière de sécurité côté serveur.
Tout est dans le titre
Les navigateurs fournissent les propriétés booléennes window.personalbar, window.locationbar, et window.menubar properties
Ou utiliser les navigateurs / outils en ligne de commande pour afficher du contenu
Tout est dans le titre
Tout est dans le titre
Tout est dans le titre
Tout est dans le titre
Tout est dans le titre
Tout est dans le titre (via https://blog.stephaniewalter.fr/la-semaine-en-pixels-14-juillet-2017/ )
Tout est dans le titre
Tout est dans le titre
Much like multimedia support in the browser, we initially did browser add-ons all wrong. For years each browser had its own language and method for installing add-ons, leading to security exploits, performance problems, painful maintenance for developers, and frustrating user experiences. Today we have the Web Extension API which is supported by most major browsers, a critical …
Tout est dans le titre
Tout est dans le titre
Tous les hacks CSS/Jacascript spécifiques aux navigateurs - il n'y a pas que Internet Explorer :)
Très intéressant
cette page regroupe l'ensemble des technologies utilisées par les navigateurs - on y voit entre autres les API HTML5 et les fonctionnalités CSS3
un article intéressant (et pratique) sur la détection de navigateur côté serveur : avantages et inconvénients, comment faire, etc.