Est-ce que cela rend le site plus sûr?

Non, cela ne modifie rien d'autre que votre capacité à commodément enregistrer des éléments depuis une feuille. Utiliser le mode développeur d'un navigateur, désactiver JS, remplacer cela par un script différent qui désactive cette fenêtre contextuelle, ou simplement récupérer des données sur le fil après avoir retiré le SSL fonctionnera.

Est-ce que c'est une bonne pratique générale?

C'est une douleur que l'Internet a dû souffrir de la hauteur de la renommée de GeoCities quand les gens ne voulaient pas que vous «voliez» leurs photos très mal composées de pissenlits et animaux de compagnie. Dispensant tout le professionnalisme et étant aussi simple que possible, j'hésiterais peut-être à condamner une personne pour avoir claqué le responsable de tout site moderne en utilisant cette tête avec une poêle en fonte. En dehors de cela, il est généralement tombé en disgrâce en raison d'être une combinaison d'inefficace et d'ennuyeux. Par exemple, cela entraînerait également un mauvais comportement de mon correcteur orthographique.

La sécurité côté client n'est qu'un écran de fumée. Cela empêchera les personnes inexpérimentées de sauvegarder les images ou de jouer avec le HTML, mais on peut facilement le désactiver avec une seule ligne de javascript injecté. Vous pouvez jouer avec le HTML même sans cette ligne de JS, en utilisant Chrome Inspector.

Quand cette astuce est utilisée pour garder les images "sécurisées":

J'ai vu beaucoup de astuces utilisées par les sites pour éviter la récupération des images. L'un, bien sûr, est de piéger la bulle du clic droit. L'autre consiste à superposer deux images (ou à utiliser un CSS background-image: url () ), rendant la première "inaccessible" au clic droit. Mais cela ne fera qu'empêcher les gens qui ne savent pas grand chose de plus que "clic droit>save image as".

Est-ce une bonne pratique? Probablement pas. Il est toujours très facile pour les gens de se faire une image. Mais oui, si vous voulez abattre le pool de "voleurs" possibles, je suppose que c'est OK à faire. Néanmoins, vous devez accepter le fait qu'une fois que vous envoyez quelque chose au client, il peut être volé.

Lorsque cette astuce est utilisée pour garder le site Web "sécurisé"

Veuillez ne pas faire ça. Votre sécurité doit être du côté de votre serveur. La sécurité côté client doit prendre la forme de CSRF / clickjacking préventions. Pas sous la forme de "rendre le code source difficile à manipuler". Parce qu'il peut toujours être dérangé.

Je pense en fait que cela pourrait compromettre la sécurité d'une fraction. Celui qui est empêché par la désactivation du bouton ne pourra jamais compromettre la sécurité du tout. Mais la désactivation du clic droit peut ennuyer quelqu'un qui peut le dépasser pour faire exactement cela, et ce faisant, briser un petit obstacle qui pourrait conduire la personne à continuer à pirater.

Un autre point est que les "fonctionnalités" comme cela pourrait amener un pirate potentiel à remettre en question les compétences des implémenteurs du site, ce qui pourrait aussi inciter le pirate à "vérifier" l'implémentation.

Bien sûr, ce n'est que de la psychologie et je n'ai rien à voir avec la sécurité réelle du site, mais toujours un point valable je pense.

Sur un site Web bancaire, je vois qu'ils ont désactivé le clic droit. Cela rend-il le site plus sécurisé?

Non. Du haut de ma tête:

• vous pouvez utiliser greasemonkey pour supprimer leur fonctionnalité de clic droit lors du chargement de la page.

• vous pouvez enregistrer la page Web, puis l'ouvrir dans votre éditeur préféré.

• vous pouvez récupérer la page Web à nouveau, en utilisant wget (ou tout autre client qui obtient la page sans lire aucun javascript).

• vous pouvez inspecter le code et le contenu de la page en utilisant n'importe quelle extension de développeur Web de votre navigateur.

Est-ce une bonne pratique générale?

Cela limite les capacités de votre navigateur sur leur site Web. Autant que je sache, la seule chose qu'ils réalisent est une expérience utilisateur plus médiocre sur leur site Web (vous ne pouvez pas utiliser toutes les capacités de votre navigateur avec leur site Web) et (si nous recherchons des propriétaires / gestionnaires de site Web très naïfs / autres personnes responsables) une illusion dangereuse de sécurité.

Étonnamment, souvent, les sites Web ne sont pas conçus pour gérer les clics sur les boutons du navigateur "Précédent" ou "Suivant". Par exemple, certains sites Web bancaires ou de commerce électronique peuvent commettre une transaction deux fois si vous cliquez sur "Retour". Dans de tels cas, il peut y avoir un cas pour essayer de désactiver le clic droit (où ces options sont incluses).

La désactivation du clic droit n'a aucun impact sur la sécurité; il est tout à fait simple de se déplacer, bien que cela seul n'ouvre aucune faille de sécurité.

Donner au site Web de la banque le bénéfice du doute - il pourrait peut-être y avoir un effet non sécuritaire qu'ils voulaient de désactiver le clic droit. Ils voudront peut-être empêcher les utilisateurs de faire accidentellement des actions involontaires sur le site Web de la banque.

Par exemple, vous connaissez peut-être les sites Web qui disent uniquement "appuyez sur envoyer une fois" pour éviter que le formulaire ne soit soumis en double. Si vous appuyez deux fois sur Soumettre, vous pouvez lancer un transfert d'argent deux fois, ce qui n'était pas ce que vous vouliez. Certes, il existe des moyens beaucoup plus sains d'y parvenir (attribuer à chaque action un identifiant unique avant sa soumission, ne traiter une demande qu'une seule fois), etc.

Ou peut-être ont-ils configuré le site si vous chargez un page, visitez une autre page et appuyez sur le bouton retour de votre navigateur pour accéder à la page d'origine (au lieu de naviguer sur leur site Web), la page précédemment visitée ne fonctionnera plus (par exemple, il y a un jeton qui a expiré une fois que vous avez visité une nouvelle page ). Ils craignaient peut-être que vous vous éloigniez d'un site, et qu'un attaquant pourrait alors utiliser l'ordinateur après que vous ayez appuyé plusieurs fois sur vos informations bancaires. (Encore une fois, ce n'est pas la méthode la plus saine pour atteindre cet objectif, par opposition à un délai d'expiration de session après 5 minutes d'inactivité et à encourager les gens à se déconnecter et à ne pas utiliser les ordinateurs publics).

Non, si vous avez besoin d'éléments sécurisés, ne faites confiance à aucune chose côté client.

À titre d'exemple, si vous ne faites que des validations côté client dans un site Web qui a besoin de plus de sécurité, vous échouerez. Faites à la fois les validations, le serveur et les clients.

Et le principal est - assurer la sécurité signifie qu'il ne sécurise pas les choses. Cela augmente le temps de rupture du système. En désactivant le clic droit, le temps de pause peut être augmenté d'une seconde ou deux;)

Le seul avantage imaginable que je pourrais penser que cela pourrait offrir serait s'ils s'attendent à ce que l'utilisateur occasionnel fasse quelque chose de stupide qui nécessiterait un clic droit. Cependant, je ne connais aucun vecteur d'attaque où un clic droit sur quelque chose pourrait provoquer un exploit, donc je ne vois aucune explication de sécurité valide pour ce comportement. Peut-être ne veulent-ils pas que l'utilisateur copie et colle certaines informations et espère que l'utilisateur ne connaît pas ctrl-c et ctrl-v?

Il est probablement destiné à rendre la vie plus difficile pour les attaques de phishing. L'idée serait qu'un attaquant ait besoin de créer une fausse page convaincante, et pour ce faire, il essaiera naturellement de sauvegarder les images de la vraie page Web, donc rendre légèrement plus difficile l'accès à l'image doit être une bonne chose, non?

De toute évidence, il est complètement inefficace et n'apporte qu'une convivialité négative, mais je suppose que c'est la pensée, comme j'ai vu les produits sec, affirmer que la protection contre le téléchargement d'actifs Web publics a une certaine valeur contre le phishing.

Oui, "désactiver" le clic droit a un impact sur la sécurité.

"Désactiver" le clic droit incite des utilisateurs comme moi à désactiver JavaScript. Donc, toutes les autres mesures de sécurité - plutôt médiocres - implémentées dans JavaScript sont également fermées.

C'est ce que j'appelle sécurité contre-productive .

["Désactiver" le clic droit ne signifie pas vraiment désactiver le clic droit . Il essaie de désactiver le clic droit , et cela rend simplement le clic droit plus difficile. Certains navigateurs Web ont même la possibilité d'ignorer ce désagrément absurde.]