PEBKAC #9786

Je me rends sur un site de location de voitures dont j'ai déjà utilisé les services sans aucun souci, et je veux me connecter à mon espace personnel. Dans le formulaire de connexion, les champs « adresse e-mail » et « mot de passe » sont présents. Je sélectionne le premier, tape la première lettre de mon adresse et l'auto-complétion me suggère mon adresse e-mail. Parfait.
Je bascule sur le champ mot de passe, tape la première lettre de mon mot de passe et… oh surprise, l'auto-complétion me propose mon mot de passe, affiché en clair dans les propositions (bien que dans le champ du formulaire, les lettres soient bien remplacées par des points).

Le champ est donc bien de type password mais le navigateur me suggère un mot de passe ayant déjà été entré (étant le seul à utiliser cet ordinateur, il n'y a que le mien qui soit affiché).
Quand on sait qu'une fois connecté on a accès aux anciennes réservation ainsi qu'aux réservations en cours, mais également aux données de paiement… PEBKAC.

PEBKAC #9786 proposé par alexrobas le 22/04/2014 | 50 commentaires | 👍🏽 👎🏽 +156

C'est vrai ? A priori, c'est le navigateur qui serait en cause, mais j'avoue que j'aimerais bien voir ça. Je suppose que tu as remonté le bug ?

Commentaire #137987 écrit par Aaargh!!! le 22/04/2014 à 12h39 | 👍🏽 👎🏽

Oui j'ai remonté le "bug". J'ai testé qu'avec FireFox. Je ne sais pas si je "peux" donner le site...

Commentaire #137996 écrit par alexrobas le 22/04/2014 à 12h56 | 👍🏽 👎🏽

Tu utilises quoi comme navigateur?

Parce que dans ceux que je connais (IE, Firefox et Chrome), quand tu rentres un mot de passe et que tu fais Connection (ou équivalent), le navigateur te demande si tu souhaites qu'il se souvienne du mot de passe.

Si c'est ce qui c'est passé, que tu as répondu oui et qu'aujourd'hui tu accuse ton navigateur de je-ne-sais-quoi, désolé mais CTLP.

Commentaire #137997 écrit par Dorryn le 22/04/2014 à 12h58 | 👍🏽 👎🏽

Si je demande à mon navigateur de retenir mon mot de passe, je n'ai pas envie pour autant qu'il me l'affiche en clair dès que je commence à le taper...

Commentaire #137998 écrit par Crapoo le 22/04/2014 à 13h02 | 👍🏽 👎🏽

Si tu demande au navigateur de se souvenir du mot de passe tout ce tu as à faire c'est rentrer ton login et il te met le mot de passe en entier tout seul, t'as même pas besoin de le voir en clair. Sans compter la possibilité pour n'importe-qui d'avoir accès à la liste en clair de tout les mots de passe enregistrés via les options de Firefox (à moins d'avoir un mot de passe principal je crois).

De deux choses l'une : soit c'est l'auto-complétion de Firefox qui commence à lui afficher son mdp dès la première lettre tapée, ce qu'il ne fait pas chez moi (même si je lui ai demandé de s'en souvenir, je viens de vérifier) auquel cas c'est juste SON Firefox qui est buggé ; soit c'est l'auto-complétion du site (je suis même pas sûr que ça existe je peux dire une connerie) qui lui affiche, auquel cas PEBKAC pour le webmaster.

Commentaire #138000 écrit par Dorryn le 22/04/2014 à 13h16 | 👍🏽 👎🏽

Il y a encore des gens qui utilisent FireFox ? Vraiment ?

Commentaire #138008 écrit par FirefoxMaTuer le 22/04/2014 à 13h25 | 👍🏽 👎🏽

J'ai encore jamais vu ni l'un, ni l'autre, c'est pour ça que j'aurais bien voulu voir la config. C'est pas dit que j'aurais trouvé.

Commentaire #138012 écrit par Aaargh!!! le 22/04/2014 à 13h50 | 👍🏽 👎🏽

Mais non, c'est tellement minable. Je préférais Navigator mais depuis que j'ai découvert IE6, je le recommande à tous.

Commentaire #138013 écrit par Aaargh!!! le 22/04/2014 à 13h51 | 👍🏽 👎🏽

Dit le mec sous Chrome qui donne bien gentiment tout son historique de navigation, ses cookies & co à Google.

Commentaire #138016 écrit par neeko le 22/04/2014 à 13h59 | 👍🏽 👎🏽

Ce n'est certainement pas un comportement normal de Firefox...

1) Même si ce n'est pas un vrai argument, je n'ai jamais rencontré le cas (oui, des gens utilisent encore Firefox)
2) Aucun navigateur n'est censé afficher les mots de passe enregistrés en clair, sauf sur demande (dans les options de sécurité etc.)
3) En aucun cas ce n'est le comportement attendu d'un <input type="password">

En conclusion, il s'agit soit d'un "bug" du site qui simule lui-même l'auto-complétion (donc PEBKAC au dev du site), soit un plugin "pourri" (là je serai tenté de dire CTLP), soit d'un bug très rare du navigateur.

Commentaire #138018 écrit par aDev le 22/04/2014 à 14h00 | 👍🏽 👎🏽

Chrome + Ghostery + NotScripts + Adblock + WOT :)

Commentaire #138024 écrit par Shadam le 22/04/2014 à 14h13 | 👍🏽 👎🏽

Chrome + Ghostery + NotScripts + Adblock + WOT :)

Tu remplaces Chrome par Firefox ça marche tout aussi bien d'ailleurs. D'ailleurs dans la même veine que Ghostery il y a Disconnect pour ceux que ça intéresse.

Commentaire #138033 écrit par Dorryn le 22/04/2014 à 14h25 | 👍🏽 👎🏽

Pour les vrais frileux il y a Lynx !

Commentaire #138038 écrit par aDev le 22/04/2014 à 14h50 | 👍🏽 👎🏽

Et si il ne s'agissait pas d'un champ "password", mais que les lettres étaient remplacées par des ronds via un script ? Ce me semblerait plus logique (mais plus tordu, certes) qu'un bug du navigateur...

Commentaire #138042 écrit par Epok__ le 22/04/2014 à 15h08 | 👍🏽 👎🏽

J'étais parti du principe que l'auteur était allé voir dans la source, mais tu me fais douter...

Commentaire #138043 écrit par aDev le 22/04/2014 à 15h20 | 👍🏽 👎🏽

Sa seule explication que je vois, c'est que le champ est à l'origine de type text, et se change en type password quand on commence à tapoter dedans. Le dev ne connait surement pas l'attribut placeholder (ou alors c'est du vieux site).

Commentaire #138050 écrit par juu le 22/04/2014 à 15h41 | 👍🏽 👎🏽

Sauf que Chrome c'est le navigateur le plus rapide, donc Firefox non merci.

Commentaire #138051 écrit par Shadam le 22/04/2014 à 15h43 | 👍🏽 👎🏽

<mode="croit tout ce qu'il entend à la télé">CTLP : ils avaient pourtant dit de ne pas aller sur internet pendant quelques jours, parce qu'avec Heartbleed des vilains méchants peuvent récupérer ton mot de passe.</mode>

Commentaire #138052 écrit par /etc/passwd le 22/04/2014 à 15h47 | 👍🏽 👎🏽

Je ne "vois" pas ce que "tu" veux "dire".
Tu ne serais pas journaliste, des fois ?

Commentaire #138053 écrit par pH le 22/04/2014 à 15h55 | 👍🏽 👎🏽

En clair ou avec des étoiles ça ne change que dalle, ce sont juste des réglages utilisateur, ce qu'il faut voir c'est la sécurité de la connexion au site (HTTPS) et comment le trousseau est géré sur ta bécane. Après, a toi de sécuriser ta session ( pas d'administrateur et avec mot de passe à la connexion + une possibilité de connexion en tant qu'invité pour les utilisateurs que tu ne connais pas)

Commentaire #138066 écrit par jonathanl le 22/04/2014 à 16h35 | 👍🏽 👎🏽

1) Si le champ devenait de type password avant l'envoi du formulaire, firefox ne sauvegarderait pas sa valeur dans la liste d'auto-complétion (testé)

2) Si j'envoie le formulaire avec le password dans un input type="text" (donc modification du type ou copie dans un champ texte à la soumission du formulaire), le comportement correspond bien à la description de l'auteur.

3) Je ne sais pas si cela a à voir avec une quelconque mauvaise simulation de placeholder, mais il existe des plugins qui font ça très bien.

Commentaire #138067 écrit par aDev le 22/04/2014 à 16h37 | 👍🏽 👎🏽

Heu... Si tu aimes l'interface chrome mais pas google, toutes ces extensions mais sur chromium seraient plus logiques, non?

Commentaire #138068 écrit par jonathanl le 22/04/2014 à 16h40 | 👍🏽 👎🏽

@jonathanl En clair ou avec des étoiles ça change que dalle ? Tu n'écrirais pas tes mots de passe sur des post-it par hasard ?

Commentaire #138071 écrit par aDev le 22/04/2014 à 16h43 | 👍🏽 👎🏽

That successful troll...

Commentaire #138072 écrit par pH le 22/04/2014 à 16h44 | 👍🏽 👎🏽

Non.

Commentaire #138074 écrit par Shadam le 22/04/2014 à 16h50 | 👍🏽 👎🏽

4 pebkac et 4 fois tu ais le premié a répandre. Tu travaille des fois.

Commentaire #138090 écrit par Gérard le 22/04/2014 à 17h17 | 👍🏽 👎🏽

à aDev. En dehors de l'eventuelle personne qui regarde par dessus ton épaule non ca ne change strictement rien. Avec firebug ou inspecter l'élément sur chrome tu modifie le type="password" en type="text" ...

Commentaire #138101 écrit par Krogoth le 22/04/2014 à 18h27 | 👍🏽 👎🏽

Il me semble qu'une très vielle version de Firefox le faisait (7.x si je ne m'abuse). Apres si il tourne avec Firefox 7 il peut se poser des questions...

Commentaire #138103 écrit par themoonisacheese le 22/04/2014 à 18h53 | 👍🏽 👎🏽

Justement, il travaille dans l'épandage...

Commentaire #138105 écrit par D-z le 22/04/2014 à 19h17 | 👍🏽 👎🏽

Vous citez ici une action volontaire de la part de l'internaute. Alexrobas ne semblait pas volontaire.

Commentaire #138115 écrit par H. Finch le 22/04/2014 à 19h31 | 👍🏽 👎🏽

Il veut dire que le fait de divulguer des informations sur une faille à des inconnus soulève quelques problèmes moraux.
Tu ne serais pas informaticien, des fois? :p

Commentaire #138122 écrit par Noraa le 22/04/2014 à 20h05 | 👍🏽 👎🏽

Gérard, deux phrases et tu as réussi à pousser Grammar Nazi au suicide... T'es allé à l'école de fois?

Commentaire #138139 écrit par alexrobas le 22/04/2014 à 22h56 | 👍🏽 👎🏽

Rien ne vaut ***** comme mot de passe.

Commentaire #138144 écrit par spidermoon le 23/04/2014 à 00h14 | 👍🏽 👎🏽

Les 2.x ne le faisaient pas, les 3.x (dieu sait qu'elle sont resté longtemps) et les 4.x non plus. Les 7.x peut être, mais ca me surprendrait.

Commentaire #138147 écrit par Palunon le 23/04/2014 à 02h46 | 👍🏽 👎🏽

En effet, je viens de vérifier, le champs n'est pas du type password.
J'ai reçu une réponse du site en question:
"Merci pour votre e-mail.

C'est parce que vous vous êtes déjà connectés à votre espace personnel et donc le navigateur vous suggère le mot de passe.

Cordialement"

J'ai quand même un peu de mal...

Commentaire #138173 écrit par alexrobas le 23/04/2014 à 09h41 | 👍🏽 👎🏽

moi je les comprend... Ca devait être chiant de réaliser les tests si il fallait à chaque fois saisir le mdp... Pour peu qu'il y ai des contraintes dessus du genre "Sur 15 caractères avec au moins une lettre ET un chiffre ET / ou * ou ^ ou / mais pas $ !!!"
Du coup, pour se simplifier la vie, on passe le champ en text et le mot de passe apparait quand on clique dans la case !! :D

Commentaire #138203 écrit par jqke le 23/04/2014 à 13h18 | 👍🏽 👎🏽

En fait... je pense que le problème vient bien de mon navigateur !
Je n'avais jamais trop fait attention mais au boulot, "LiberKey Portabilizer" est sur les machines et lorsque je lance Firefox... et bien c'est « FirefoxLKL.exe » qui est lancé... Je n'avais jamais fait attention à cela... Ce "firefox" (je ne sais pas comme l'appeler d'autre, et oui j'utilise encore des guillemets) n'a pas le même comportement que « firefox.exe » même dans d'autres situations ...
Je vais creuser de ce côté-là. Le PEBKAC n'est peut-être pas là ou je pensais... (et c'est peut-être même moi le PEBKAC...) je vais aller faire un petit tour du côté de chez Google pour voir si je ne trouve pas quelque chose...

Commentaire #138227 écrit par alexrobas le 23/04/2014 à 15h18 | 👍🏽 👎🏽

@Krogoth :

OK, j'abdique, les champs password ne servent à rien. Quitte à envoyer le mot de passe en clair, autant l'afficher directement sur l'écran. Oh, et en taille 48 c'est encore mieux, des fois que Mme Michu soit devenue à moitié aveugle.

Commentaire #138232 écrit par aDev le 23/04/2014 à 15h44 | 👍🏽 👎🏽

L'école de fois c'est la où on apprend à écrire les multiples homonymes du mot fois ? :-)

Dans ce cas j'oserai répondre oui à sa place puisqu'il s'agit des rares mots écrits correctement.

Commentaire #138237 écrit par aDev le 23/04/2014 à 16h05 | 👍🏽 👎🏽

Tu voulais dire 8-6, pas IE6...

Ah, on parlait pas de bière ?

Commentaire #138238 écrit par aDev le 23/04/2014 à 16h07 | 👍🏽 👎🏽

Je ne pense pas que cela vienne de LiberKey...

C'est parce que vous vous êtes déjà connectés à votre espace personnel et donc le navigateur vous suggère le mot de passe.

Un navigateur n'a pas à te "suggérer" un mot de passe... à moins qu'il ne soit pris, comme c'est le cas ici (à raison) pour un texte normal.

Cela me suffit pour affirmer que c'est bien du côté des responsables/devs du site en question qu'il faut chercher le PEBKAC.

Commentaire #138240 écrit par aDev le 23/04/2014 à 16h41 | 👍🏽 👎🏽

Ah, ne me tente pas, hein.

Commentaire #138256 écrit par Aaargh!!! le 23/04/2014 à 17h43 | 👍🏽 👎🏽

Pour info, le W3C stipule dans la norme HTML5 que l'attribut autocomplete fonctionne sur les balises input, notamment sur les input de type password.
Ca me semble pas un comportement qu'un utilisateur souhaiterait, mais bon, ça reste la norme. Je mettrais donc bien le PEBKAC pour le webmaster/developpeur.

source: http://www.w3schools.com/TAGs/att_input_autocomplete.asp

Commentaire #138306 écrit par Gnom6B6B le 24/04/2014 à 00h35 | 👍🏽 👎🏽

Clairement du côté de aDev. Aucun site n'a à te suggérer ton mot de passe. Soit tu le connais soit tu le connais pas et tu en demande un nouveau.

C'est comme si ton code de CB se tapait automatiquement lorsque tu appuie sur le premier chiffre.

Commentaire #138318 écrit par Kadcom le 24/04/2014 à 08h54 | 👍🏽 👎🏽

@aDev> oh purée, bien vu ! Je devrais mieux me relire des fois ;-)

Commentaire #138336 écrit par alexrobas le 24/04/2014 à 09h58 | 👍🏽 👎🏽

Ouais je comprends bien... J'ai répondu que le comportement n'était pas normal ils m'ont alors renvoyé une réponse:
"Avez-vous essayé avec un autre navigateur?

Peut-être il y a certains paramètres spéciaux dans votre navigateur.

Cordialement, "

Bon, du coup je ne passe plus par LiberKey et du coup, plus de problème (enfin je crois !).

Commentaire #138337 écrit par alexrobas le 24/04/2014 à 10h01 | 👍🏽 👎🏽

Certes, mais sur un input password, l'autocomplete permet seulement au navigateur de sauvegarder le mot de passe dans son gestionnaire de mot de passe (et ce uniquement après aval de l'utilisateur), pas de l'afficher dans une liste, en clair sur la page.

Certains navigateurs pourraient avoir une implémentation différente mais je ne les connais pas.

Après si un utilisateur se fait chiper son mdp grâce à ce gestionnaire, dans la majorité des cas PEBKAC à lui.

Commentaire #138375 écrit par aDev le 24/04/2014 à 11h47 | 👍🏽 👎🏽

D'ici trois ans deux jours on aura "sur pebkac.fr, un intervenant prétend que ça ne sert à rien d'avoir un champ de type password pour cacher ce qu'on tape. Pebkac" (signé : aDev).

Commentaire #138401 écrit par Aaargh!!! le 24/04/2014 à 13h54 | 👍🏽 👎🏽

FirefoxLKL.exe n'est qu'un lanceur de firefox.exe, ça ne devrait pas du tout avoir d'influence. Le problème est vraiment que le champ "mot de passe" n'est pas de type "password". C'est un PEBKAC de la part du dev, et c'est très nul - surtout sa réponse en langue de bois.

Commentaire #138470 écrit par AkaiKen le 25/04/2014 à 10h18 | 👍🏽 👎🏽

Sinon, en français, on dis "parfois".

Cadeau : https://fr.answers.yahoo.com/question/index?qid=20071115185336AAYVkl1

Commentaire #138571 écrit par Peredur le 28/04/2014 à 13h20 | 👍🏽 👎🏽