Règle n° 216 - L’affichage de la barre d’adresse du navigateur n’est pas bloqué.
Certains services en ligne affichent les formulaires de connexion dans des fenêtres séparées, sans la barre d’adresse du navigateur. Ces fenêtres isolées, sans affichage de l’URL, peuvent être utilisées pour récupérer les identifiants de connexion, sans que les utilisateurs et utilisatrices aient de moyens de se rendre compte qu’ils ne sont pas là ils croient être (phishing). De manière générale, il est toujours utile de savoir où l’on se trouve.
Objectif
- limiter les risques d’interception d’identifiants et de mots de passe,
- limiter les usurpations de domaines,
- renforcer l’identification et la confiance en ligne.
Solution technique
Ne pas utiliser les techniques d’ouverture de popup permettant de masquer la barre d’adresse de la fenêtre. Par exemple, window.open() avec les options location="no", toolbar="no", fullscreen ou kiosk.
Moyen de contrôle
Vérifier pour chaque fenêtre ouverte la présence visible de la barre d’adresse du navigateur.