Le système pour autocompléter les champs et formulaires dans les navigateurs a démontré toute sa praticité pour les utilisateurs fatigués de réécrire sans cesse les mêmes informations. Mais l'autocomplétion peut devenir un risque de sécurité si elle n'est pas implémentée correctement. Le développeur Viljami Kuosmanen a découvert que les profils d'autocomplétion d'Opera, Chrome et Safari publient leur contenu complet à chaque fois qu'ils sont activés, et tout ce dont un attaquant a besoin est de créer des champs cachés dans une page web pour extraire le reste des données.
Remplir des formulaires est… fastidieux, oui. Inutile de le nier. Certains utilisateurs doivent le faire quotidiennement, et la frustration s'accumule. Mais les fonctions d'autocomplétion et de prédiction de texte viennent à la rescousse. Nom, prénom, date de naissance, adresse postale, adresse e-mail, numéro de téléphone… en quelques clics ou un raccourci clavier, tous ces champs sont remplis automatiquement. Sans aucun doute, l'autocomplétion n'est pas près de disparaître… mais quelle est la sûreté de son implémentation ? Après tout, il y a des données personnelles dans ces profils. Selon le développeur finlandais Viljami Kuosmanen, l'autocomplétion laisse à désirer, et il a créé une simple page pour le démontrer.
La page ne comporte que deux champs : nom et adresse e-mail. L'idée est qu'un utilisateur des systèmes d'autocomplétion d'Opera, Safari et Chrome utilise ses profils automatiques pour remplir les données et appuie sur «Submit». Mais ce qui s'affiche ensuite, ce sont des données pour lesquelles il n'y avait pas de champs au départ. Que s'est-il passé ? En substance, la page comporte des champs cachés que les profils d'autocomplétion remplissent quand même, à l'insu de l'utilisateur. Cette «tromperie» fonctionne aussi avec certaines extensions qui prennent en charge l'autocomplétion, (comme par exemple LastPass).
La recommandation est d'éviter le système d'autocomplétion jusqu'à ce que les développeurs des navigateurs concernés introduisent une solution pour empêcher les profils de remplir les champs cachés, ou du moins de ne l'utiliser que sur des portails de confiance. Le seul navigateur «immunisé» pour ainsi dire est Firefox, car il ne prend en charge que l'autocomplétion champ par champ (bien que la société ait confirmé une autocomplétion plus élaborée pour les versions futures).
