Summary

  • Un ancien exemple de Microsoft montre qu’Internet Explorer écartait de sa mémoire AutoComplete un champ texte marqué AUTOCOMPLETE="off".
  • Depuis Firefox 30, paru le 10 juin 2014, cette instruction sur un formulaire n’empêche plus le gestionnaire de proposer la sauvegarde d’un mot de passe. La personne choisit de l’accepter.

Dans la documentation d’Internet Explorer conservée par Microsoft, deux champs de texte font la démonstration. Le premier entre dans le magasin AutoComplete ; le second, marqué AUTOCOMPLETE="off", reste dehors. La méthode présentée existe dans IE 5 et les versions suivantes. C’est une consigne tout à fait utile : une valeur saisie pour une seule opération ne mérite pas toujours une invitation à revenir.

Le mot de passe a compliqué l’affaire. Des sites plaçaient le même off sur leur formulaire de connexion pour empêcher aussi le navigateur de proposer l’enregistrement des identifiants. Or le gestionnaire de mots de passe et la complétion ordinaire ne travaillent pas au même guichet. Le dossier original du bogue Mozilla 956906 insiste sur la différence. La complétion rappelle des valeurs de champs ; le gestionnaire demande à l’utilisateur s’il veut conserver un accès. Une seule étiquette avait pris la direction des deux guichets.

Les notes de Firefox 30 datent la sortie du 10 juin 2014. Dans leur rubrique Sécurité, elles annoncent que <form autocomplete="off"> ne bloque plus l’enregistrement des mots de passe. Le navigateur peut donc faire une proposition. Le propriétaire du mot de passe répond oui ou non. Ce petit dialogue retire au site le pouvoir de refuser l’offre à sa place.

La discussion chez Mozilla montre pourquoi les participants ne traitaient pas cette modification comme un tour de passe-passe. Certains évoquaient l’ordinateur partagé et les risques d’un remplissage au mauvais endroit. D’autres décrivaient le coût d’un gestionnaire neutralisé : les gens se rabattent sur des secrets qu’ils peuvent retenir seuls. Les développeurs distinguaient l’acte de proposer une sauvegarde des règles qui gouvernent le remplissage ultérieur. Firefox 30 a déplacé le premier acte.

Cette frontière apparaît toujours dans le guide actuel de Mozilla sur les formulaires. autocomplete="off" agit sur la complétion habituelle et sur la réapparition de données depuis l’historique de session ; la gestion des identifiants suit sa propre logique. Pour la création d’un nouveau mot de passe, notamment dans une interface d’administration, autocomplete="new-password" indique au navigateur la nature précise du champ.

La norme HTML actuelle décrit d’ailleurs des usages sérieux pour off : une donnée sensible, une valeur éphémère, ou un mécanisme de complétion fourni par la page. Le panneau « fermé » reste sur la bonne porte. Firefox a seulement cessé de le laisser parler au nom de la personne qui possède la clé.