RFC 35140 : politique HTTP Do-Not-Stab (2023)

Vue d'ensemble

• Ce document définit la syntaxe et la sémantique de l'en-tête HTTP proposé Do-Not-Stab, qui permet aux utilisateurs d'indiquer s'ils souhaitent ne pas être poignardés par un site web.
• Il fournit une norme sur la manière dont les services doivent respecter ces préférences utilisateur.

Introduction

• Au cours des 50 dernières années, les progrès des périphériques ont permis aux sites web de poignarder les utilisateurs.
• Certains utilisateurs sont mal à l'aise à l'idée d'avoir un couteau planté dans la poitrine, et cet en-tête permet à ces utilisateurs d'exprimer leur préférence personnelle.
• La plupart des entreprises, à l'exception des acteurs malveillants, respectent la loi et cesseront de poignarder sur demande.
• Cette norme offre aux utilisateurs un moyen simple de refuser tout poignardage, sauf lorsque la loi l'exige.

Syntaxe

• L'en-tête n'a qu'une seule forme : Do-Not-Stab: 1.
• L'absence de l'en-tête indique une préférence explicite de l'utilisateur pour être poignardé.

Valeur par défaut

• Les user agents ne doivent pas adopter Do-Not-Stab: 1 comme préférence par défaut.
• Les user agents ne sont pas en position de déterminer si l'utilisateur souhaite être poignardé, et cela doit relever d'un choix explicite de l'utilisateur.

Mise en œuvre

• Microsoft s'est engagé à prendre en charge l'en-tête Do-Not-Stab dans l'EEE (Espace économique européen).
• En dehors de l'EEE, la prise en charge de l'en-tête est en cours et les utilisateurs peuvent toujours être poignardés même s'il est défini.

Exceptions

• Des exceptions à l'en-tête Do-Not-Stab sont autorisées lorsque l'intérêt commercial l'emporte sur les questions de sécurité.
  • Si l'utilisateur a consenti à être poignardé (il se peut qu'il ne sache pas s'il a consenti).
  • Poignardage demandé par le gouvernement.
  • Poignardage peu susceptible de tuer l'utilisateur.
  • Si les actionnaires le souhaitent.

[GN⁺]

Avis sur Hacker News

• Il existe une évolution sociale où la responsabilité de protéger l’autonomie individuelle passe des institutions ou des régulateurs aux utilisateurs eux-mêmes. La conformité volontaire est difficile à initier face à la pression financière

  • Il est nécessaire de défendre activement la liberté d’utilisation de l’ordinateur personnel

• L’en-tête Do-Not-Stab n’est plus utilisé. Il existe une alternative non standard appelée General Assault Control

  • Elle n’est pas activée par défaut en raison d’exigences juridiques américaines. L’utilisateur doit explicitement la désactiver

• Cette fonctionnalité est désactivée par défaut, mais elle est implémentée dans certains navigateurs. Les utilisateurs peuvent demander aux serveurs web de prendre en charge l’en-tête GAC

• La bureaucratie européenne y apparaît de manière transparente. L’environnement économique européen n’est pas adapté aux entreprises SaaS

• Fournit une bannière de consentement au stabbing conforme aux réglementations de l’UE et de la Californie sur le stabbing basé sur le web

• L’en-tête Do Not Track a été proposé en 2009, et Mozilla Firefox a été le premier à l’implémenter

• Les entreprises ne détestent pas les utilisateurs. Elles aiment l’argent des utilisateurs et leur sont indifférentes

• Il n’existe toujours pas de prise en charge pour Do-Not-Shoot, Do-Not-Rape et Do-Not-Stone

• Une RFC est une demande de commentaires. Il y a une interrogation sur la manière de laisser un commentaire et sur son destinataire

• Cet en-tête pourrait au final devenir une information de plus que les entreprises peuvent utiliser pour attaquer les utilisateurs