NoScript

Installer NoScript depuis Mozilla Update

• Auteur : Giorgio Maone
• Version : voir le changelog sur le site officiel
• Compatibilité : – –
• Licence : GPL
• Traducteur : Calimo

Description

Permet de désactiver le Javascript globalement et de ne l'activer qu'au coup par coup uniquement pour les domaines de confiance de votre choix (p.ex le site de votre banque). Ce blocage préventif basé sur une liste blanche accroit fortement la sécurité, et empêche l'exploitation de failles de sécurité (connues et inconnues).

Vous pouvez également autoriser le javascript globalement et ne l'interdire que quand vous en ressentez le besoin, mais la sécurité est alors fortement diminuée.

« Protection supplémentaire pour votre Firefox : NoScript ne permet l'exécution de scripts JavaScript que sur les domaines de confiance de votre choix (p.ex. le site de votre banque). Ce système de blocage préventif de scripts basé sur une liste blanche empêche l'exploitation de failles de sécurité (connues et même inconnues) sans perte de fonctionnalités... Les experts en conviendront : Firefox est réellement plus sûr avec NoScript :-) »

Captures d'écrans

Utilisation

L'utilisation de NoScript est très simple. Lorsque vous l'installez, Javascript et Java (et potentiellement d'autres contenus exécutables) sont bloqués par défaut. Vous pourrez autoriser l'exécution de Javascript/Java/… (nous appellerons tout cela scripts à partir de maintenant) de manière sélective sur les sites en lesquels vous avez confiance.

Notez que vous ne devriez pas désactiver Javascript dans Firefox, c'est-à-dire que la case Activer JavaScript dans Outils > Options (ou Édition > Préférences ou Firefox > Préférences) > Contenu devrait être cochée, (Javascript activé) sans quoi le javascript sera bloqué partout, même si autorisé par NoScript.

Lorsque vous visitez un site avec des scripts bloqués, un bref son est joué et une notification, similaire à celle du blocage des popups, apparaît. Tout cela est bien entendu réglable dans les options de NoScript).
Regardez dans la barre d'état pour connaitre les permissions actuelles de NoScript :

• - indique que les scrits sont bloqués pour le site
• - indique que les scripts sont autorisés pour certaines adresse du site en cours (cela surviens quand il y a plusieurs cadres, et que les scripts sont autorisés dans certains cadres et bloqués dans d'autres)
• - indique que les scripts sont autorisés sur le site visité
• - indique que les scripts sont autorisé globalement (pourquoi diable avez-vous décider de naviguer sans aucune protection ??!?

Le nombre de balises <script> détectées dans la page est affiché dans une infobulle lorsque vous survolez l'ione avec votre souris. Si le "S" de l'icône est blanche plutôt que bleue ( ( ), cela signifie qu'aucun script n'a été détecté. Cela signifie probablement que vous n'avez pas du tout besoin d'activer Javascript sur cette page.

Vous pouvez changer les permissions pour les scripts en faisant un clic avec le bouton gauche de la souris sur l'icône de NoScript, ce qui fera apparaître un menu. Vous pouvez obtenir le même menu en faisant un clic droit sur la page, de cette manière vous pouvez y avoir accès également dans les fenêtres dépourvues de barre d'état (cependant, il serait peut-être plus adéquat d'empêcher les sites de cacher votre barre d'état en allant dans les options de Firefox, onglet Contenu et en décochant Cacher la barre d'état dans les options avancées de javascript). Bien entendu, si vous n'aimez pas le menu contextuel ou si le votre est déjà bien rempli, vous pouvez désactiver cela.

Un bouton pour la barre d'outils est aussi fourni. Faites un clic droit sur votre bare d'outils, sélectionnez Personnaliser… et faites-le glisser où vous le voulez. En cliquant sur ce bouton, vous allez autoriser/interdire les script pour le site affiché dans votre barre d'adresse. Le menu normal de NoScript s'affiche si vous cliquez sur la petite flèche à côté de ce bouton.

Pour finir, le dernier point, et pas le moindre, vous disposez d'une fenêtre de configuration pour autoriser ou interdire plusieurs sites d'un coup, personnaliser l'interface et décider si vous voulez ou non recharger automatiquement le site en cours lorsque vous changez les permissions (pour toutes les pages ouvertes du site).

Sélection des sites

Pour chaque site vous pouvez décider d'autoriser l'adresse exacte, le domaine exact ou un domaine parent. Si vous activez un domaine (par exemple geckozone.org), vous autorisez implicitement tous ses sous-domaines (extensions.geckozone.org, etc.) pour tous les protocoles possibles (http et https).

Si vous activez une adresse (protocole://hote, p.ex. http://www.geckozone.org), vous activez tous les sous-répertoires (http://www.geckozone.org/forum), mais ni les domaines parents ni les domaines frères (http://geckozone.org ou http://extensions.geckozone.org) ne seront autorisés automatiquement.

Par défaut, seul les domaines de second niveau sont affichés dans le menu (geckozone.org), mais vous pouvez configurer NoScript pour afficher également les domaines et adresses complets.

FAQ

Une FAQ complète est disponible sur le site officiel.

Général

Que c'est étrange, un diable bleu comme logo pour NoScript ?

C'est Jesse, le ver Javascript, une menace extra-dimensionnelle piégée par NoScript.

Est-ce que GreaseMonkey fonctionne avec NoScript ?

Oui, les scripts utilisateur de GreaseMonkey fonctionneront mais seulement sur les pages où le Javascript est autorisé.

Est-ce que FlashBlock fonctionne avec NoScript ?

Comme GreaseMonkey, FlashBlock fonctionnera seulement sur les pages où Javascript est autorisé. Évidemment, il sera plus utile de bloquer le flash sur les sites en lesquels vous n'avez pas confiance. C'est pourquoi je vous conseille d'utiliser Adblock pour bloquer les animations flash et les autres désagréments (voir question suivante).

Est-ce que Adblock fonctionne avec NoScript ?

Oui, Adblock fonctionne partout avec NoScript, quelles que soient les permissions. Il bloque les animations flash, les images, les scripts, les sous-cadres et d'autres désagréments. Probablement le meilleur compagnon de NoScript pour une navigation sûre et propre !

Pourquoi ne puis-je pas interdire certains sites (googlesyndication.com flashgot.net maone.net informaction.com noscript.net) ?

Depuis la version 1.0.3, la liste blanche des sites par défaut contient quelques sites qui ne peuvent être désactivés depuis les options (vous les voyez grisés). Ce sont les sites de l'auteur et le domaine de publicités Google (googlesyndication.com), et ils ont été rendus permanents pour éviter une suppression accidentelle. Pourquoi ? Les clics sur les publicités Google ne sont pas considérés comme valides si le Javascript n'est pas activé, et le site source peut être banni du programme si Google détecte une importante quantité de clics "frauduleux". NoScript est totalement gratuit : son développement est soutenu uniquement par des donations spontanées et les publicités Google. Néanmoins, si vous avez besoin de supprimer mes sites et ceux de Google de la liste blanche, vous pouvez les supprimer en ouvrant about:config (à entrer dans la barre d'adresses) et en éditant la préférence noscript.permanent. Au fait, merci :P

Quel est ce drôle de son que j'entends quand j'ouvre une page web ?

C'est un son que Markus m'a gentiment offert en me suggérant de fournir un retour audio informant quand des pages contenant des balises <script> sont ouvertes. Je pense que c'est une sage idée car j'ai entendu parler de gens qui ont installé NoScript et qui étaient surpris que certains sites ne marchent plus : au moins ils se rappelleront qu'il y a une extension faisant la basse besogne :-)
D'un autre côté, de nombreuses personnes semblent ne pas trop apprécier ce son de couvercle de toilette ;-) Bien sur vous pouvez le désactiver par les options de NoScript Apparence. La version 1.0.7 à venir utilisera un son "Zap" plus discret.

Puis-je désactiver cette barre jaune qui apparaît parfois pour m'indiquer que des scripts ont été bloqués ?

Bien entendu ! Il vous suffit d'aller dans les options de NoScript, de choisir l'onglet Apparence et de décocher la case Afficher un message sur les scripts bloqués.

Est-ce que je dois désactiver le Javascript dans les options de Firefox pour naviguer en toute sécurité avec NoScript‚?

Vous ne devez pas désactiver Javascript dans Firefox ! NoScript va autoriser/interdire les scripts, mais ils doivent être activés par défaut, c'est-à-dire que la cas Activer JavaScript dans les Outils > Options > Contenu doit être cochée, sans quoi le javascript sera désactivé partout, même si vous l'autorisez avec NoScript.

Résolution des problèmes

Depuis que j'ai installé Noscript, Firefox plante très souvent. Que se passe-t-il ?

Mettez à jour vers la dernière version stable de Firefox. Jusqu'à la version 1.0.4, Firefox était affecté par un bug vieux de 2 ans, le bug 217967, qui provoquait des plantages aléatoires du navigateur après des changements de permissions de sécurité. L'auteur a fixé le bug, et les versions d'après le 30 juin 2005 (depuis Firefox 1.0.5) ne plantent plus avec NoScript :)

Je ne peux pas utiliser mon compte hotmail, Gmail, etc. Que se passe-t-il ?

Ces services utilisent intensivement Javascript, également dans des sous-cadres et boîtes de dialogue qui n'ont pas nécessairement la même URL que la page d'inscription. La voie la plus simple (même si ce n'est pas la plus sure) pour résoudre le problème est d'activer le domaine de base (hotmail.com, google.com) plutôt que l'URL exacte. La voie la plus sure serait de cliquer sur chaque page qui ne marche pas et d'autoriser les adresses interdites. À vous de choisir ;).

J'ai trouvé une page avec un clip vidéo supposé être joué, mais j'ai obtenu une popup disant que le plugin Lecteur Windows Media (WMP) a effectué une opération illégale. Si je désinstalle NoScript, l'erreur n'apparaît pas. Qu'y a-t-il ?

Ceci est réellement un problème WMP/Javascript, pas un problème de NoScript. Si vous désinstallez NoScript et désactivez JavaScript par l'interface intégrée de Firefox, vous obtiendrez la même erreur. Il semble que sur certaines pages le plugin WMP a besoin de Javascript activé (avec NoScript vous pouvez autoriser ce site comme d'habitude, et WMP fonctionnera.

Geckozone 2008 - 2006-12-23 - Haut de la page