La signature des modules complémentaires dans Firefox

Informations de la révision
  • Identifiant de la révision : 307627
  • Date de création :
  • Créateur : YD
  • Commentaire : Màj → 306303 refonte de l’article
  • Vérifiée : Non
  • Prêt pour la localisation : Non
Source de la révision
Contenu de la révision

Firefox exige que la plupart des modules complémentaires soient signées numériquement par Mozilla avant qu’elles ne puissent être installées. Ce processus contribue à vous protéger contre les modules malveillants qui pourraient détourner votre navigateur, voler des informations ou insérer des publicités indésirables.

Nous savons que certaines personnes estiment que cela limite leur liberté de choix. Bien que cette politique ne soit pas optionnelle dans les versions standard de Firefox, vous gardez le contrôle sur les extensions signées que vous installez et les développeurs et développeuses disposent de directives claires pour faire signer leurs extensions.

Cet article explique :

  • pourquoi la signature des extensions est obligatoire ;
  • quelles extensions doivent être signées ;
  • ce qu’il se passe si une extension n’est pas signée ;
  • les options pour les personnes qui ont une utilisation avancée des modules ou en développent.

Les modules complémentaires qui peuvent changer les paramètres de votre navigateur ou qui volent vos informations personnelles deviennent de plus en plus communs. Certains modules peuvent ajouter des boutons ou des barres d’outils non désirés, changer vos paramètres de recherche, ou encore introduire des publicités dans votre ordinateur. Firefox vérifie désormais que les modules que vous installez ont bien reçu une signature numérique de Mozilla. Cet article explique ce qu’est la signature des modules complémentaires et comment elle fonctionne.

Ce qu’est un module complémentaire signé

Les modules complémentaires donnent des possibilités puissantes pour personnaliser Firefox. Mais, ces dernières années, les modules malveillants ou trompeurs sont devenus plus fréquents. Ils pourraient :

  • modifier votre page d’accueil ou vos paramètres de recherche sans votre consentement,
  • insérer des publicités, des traceurs ou des barres d’outils dans des pages,
  • voler des données de navigation ou des identifiants de connexion.

Pour minimiser ces risques, Mozilla vérifie les modules complémentaires et leur attribue une signature numérique. Seuls les modules signés peuvent s’exécuter dans les versions officielles de Firefox.

Tous les modules hébergés sur addons.mozilla.org doivent passer par ce processus pour qu’ils soient vérifiés et signés. Les modules hébergés sur d’autres sites doivent suivre les mêmes directives afin d’être signés par Mozilla.

Pour les développeurs et développeuses : pour en apprendre davantage sur les directives à suivre pour que votre module soit signé, consultez les articles Signature et distribution de votre extension et Politiques d’examen (en anglais) sur MDN Web Docs.

Modules complémentaires qui doivent être signés

Les modules complémentaires qui doivent être signés sont :

Ceux qui n’ont pas besoin d’être signés sont :

  • les plugins
  • les moteurs de recherche

Ce qu’il se produit à l’installation d’un module non signé

  • Firefox bloque l’installation des modules complémentaires non signés.
  • Si l’un d’eux est déjà installé, Firefox le désactive automatiquement et affiche un message dans le gestionnaire des modules complémentaires.
  • S’il existe une version signée du module, vous pouvez l’installer depuis le site officiel des modules complémentaires de Firefox.

Si Firefox désactive un module complémentaire

  1. Vérifiez l’existence de mises à jour : assurez-vous d’utiliser la dernière version de Firefox. Une version obsolète peut échouer à vérifier des modules complémentaires.
  2. Recherchez une version signée : rendez-vous sur le site addons.mozilla.org (AMO) pour voir si la personne qui développe le module a publié une version à jour.
  3. Contactez la personne qui le développe : si aucune version signée n’existe, vous pouvez joindre la personne qui le développe et lui demander qu’elle le soumette pour signature.

Possibilités d’utiliser un module non signé (utilisation avancée)

Attention ! Ces instructions s’adressent aux personnes qui ont une utilisation avancée de Firefox. Modifier les préférences dans l’éditeur de configuration (la page about:config) peut affecter sérieusement la stabilité, la sécurité et les performances de Firefox.
Ne poursuivez que si vous êtes à l’aise avec les paramètres avancés et en comprenez les effets potentiels.
Les versions standard de Firefox n’autorisent ni l’utilisation ni l’installation des modules complémentaires non signés. Il existe cependant des versions particulières de Firefox qui offrent plus de souplesse :

  • Firefox ESR, version longue durée : quelques versions autorisent d’outrepasser l’obligation de signature numérique, mais les plus récentes versions ESR obligent, elles aussi, cette signature
  • Firefox Developer Edition et Firefox Nightly : vous avez la latitude de désactiver la vérification de la signature à fin de tests
  • les compilations sans marque de Firefox : ces versions permettent de désactiver l’obligation de signature, mais elles sont principalement réalisées pour le développement et les organisations.

Pour modifier la préférence qui contrôle l’obligation de signature dans les versions qui le permettent :

  1. Dans la barre d’adresse, saisissez about:config et appuyez sur la touche Entrée
  2. Cliquez sur Accepter le risque et poursuivre
  3. Recherchez pour :
    • les extensions xpinstall.signatures.required
    • les paquetages linguistiques extensions.langpacks.signatures.required
  4. Inversez la valeur de la préférence pour la passer à false

Pour le développement

Si vous développez un module complémentaire :

Autonomie des utilisateurs et utilisatrices et philosophie de Mozilla

Nous comprenons que certains utilisateurs estiment fermement qu’ils devraient pouvoir installer n’importe quel logiciel sur leur ordinateur. Mozilla concilie cette autonomie et la responsabilité de protéger des modules complémentaires dangereux la majorité des personnes qui utilisent Firefox.

Bien que les modules non signés ne soient pas pris en charge dans les versions grand public de Firefox, les personnes qui ont une utilisation avancée ou celles qui codent peuvent toujours utiliser des versions particulières de Firefox pour contourner l’obligation de signature. Cette approche protège la plupart tout en offrant de la flexibilité à celles et ceux qui la souhaitent.

Articles associés