En août, Chrome avait fait parler de lui pour la gestion de la confidentialité des identifiants enregistrés durant les sessions de navigation. Dans les paramètres du navigateur, on peut lire en effet les mots de passe en clair. Bien que Google ait d’abord indiqué que rien ne changerait, les dernières « builds » de Chrome montrent bien que l’éditeur a changé son fusil d’épaule.

Alors que Chrome a fêté ses cinq ans en septembre dernier, il ne dispose toujours pas d’un moyen simple de masquer les mots de passe. Comme n’importe quel navigateur moderne en effet, il enregistre les identifiants lors des sessions de navigation et stocke l’ensemble dans une zone spécifique. Or, il suffit de se rendre dans les paramètres du navigateur pour consulter la liste complète, les mots de passe étant affichés en texte clair.

La même chose existe sous Firefox, mais ce dernier dispose d’une option permettant de réclamer un mot de passe maître avant toute consultation. Sous Chrome, toute personne manipulant la session de l’utilisateur peut techniquement avoir accès à ses données. Nous avions d’ailleurs passé en revue quelques solutions en fonction des navigateurs pour être certain que les mots de passe n’étaient pas consultables par le premier venu.

Du côté de Google, le responsable de la sécurité de Chrome, Justin Schuh, avait estimé qu’un mot de passe maître donnait un faux sentiment de sécurité. Il n’abordait cependant pas directement le cas d’un accès non autorisé de l’ordinateur. Et il semble bien que Google soit revenu sur sa philosophie : les dernières builds de Chromium pour OS X disposent désormais d’une option permettant de réclamer systématiquement le mot de passe de la session pour consulter les mots de passe.

Si vous possédez la dernière révision de Chromium sous OS X, vous pouvez maintenant taper dans la barre d’adresse « chrome://flags » puis chercher la ligne nommée « Password Manager Reauthentification ». Après un redémarrage du navigateur, il ne sera plus possible de consulter la liste des mots de passe sans saisir à nouveau ses identifiants de session OS X.

La fonctionnalité a fait l’objet d’un billet Google+ chez l’employé de Google François Beaufort. Bien qu’il en détaille le fonctionnement, il n’aborde pas la question qui reste en suspens : cette sécurité supplémentaire va-t-elle être répercutée sur les autres plateformes ou restera-t-elle cantonnée à OS X ? Nous l’avons contacté et attendons actuellement une réponse.