Summary

  • Ein älteres Microsoft-Beispiel zeigt, wie Internet Explorer ein Textfeld mit AUTOCOMPLETE="off" vom AutoComplete-Speicher ausschließt.
  • Die am 10. Juni 2014 veröffentlichte Version Firefox 30 ließ ein solches Attribut im Formular das Angebot zum Speichern von Passwörtern nicht mehr verhindern.

Microsofts Entwicklerdokumentation zu Internet Explorer stellt zwei Textfelder nebeneinander. Der Inhalt eines Feldes landet im AutoComplete-Speicher. Das andere trägt AUTOCOMPLETE="off" und bleibt draußen. Die beschriebene Speichermethode gehörte laut Dokumentation zu IE 5 und späteren Versionen. Das Schild hatte einen guten Zweck: Ein Wert für einen einmaligen Vorgang muss beim nächsten Besuch nicht sofort wieder vor der Tür stehen.

Schwieriger wurde es am Login. Websites setzten dasselbe off ein, um auch den Passwortmanager zum Schweigen zu bringen. Der ursprüngliche Mozilla-Bug 956906 zeigt, worüber Entwickler stritten. Die gewöhnliche Formularvervollständigung merkt sich Feldwerte. Ein Passwortmanager bietet an, Zugangsdaten für seinen Nutzer aufzubewahren. Beide begegneten demselben Attribut, erfüllten aber unterschiedliche Aufträge. Ein Zettel am Formular wollte plötzlich über den Schlüsselschrank bestimmen.

Firefox 30 erschien am 10. Juni 2014. In den Versionshinweisen steht unter Sicherheit, dass <form autocomplete="off"> das Speichern von Passwörtern nicht mehr verhindert. Der Browser durfte die Frage stellen. Der Nutzer durfte das Angebot annehmen oder ablehnen. Die Website entwarf weiterhin ihr Formular; sie konnte die Unterhaltung über das eigene Passwort des Besuchers nicht mehr stillschweigend abbestellen.

Im Mozilla-Protokoll tauchen handfeste Einwände auf. Auf einem gemeinsam genutzten Rechner ist Speichern eine andere Entscheidung als am eigenen Gerät. Auch das spätere Einfügen in ein falsches Feld wurde diskutiert. Auf der anderen Seite macht ein blockierter Manager leicht merkbare Passwörter attraktiver. Die Entwickler trennten die Frage nach dem Speichern von den Regeln für das spätere Ausfüllen. Firefox 30 veränderte zuerst diese Frage.

Heute erklärt Mozilla, dass autocomplete="off" für normale Formularwerte und die Wiederherstellung von Eingaben aus dem Sitzungsverlauf weiter eine Rolle spielt. Anmeldefelder können zugleich vom Passwortmanager bedient werden. Für ein Feld, in dem ein neues Passwort festgelegt wird, nennt der Leitfaden autocomplete="new-password". So beschreibt eine Seite, wozu das Feld dient, statt für ihren Besucher zu entscheiden.

Auch der aktuelle HTML-Standard gibt off vernünftige Aufgaben: sensible Angaben, einmalige Werte oder eine eigene Vervollständigung der Seite. Das Schild blieb hängen. Firefox nahm ihm nur die Vollmacht über den Schlüssel des Nutzers ab.