Violation de l'interdiction des Cookies sur Youtube [Résolu]

[HiL22]

Bonjour à toutes et à tous,

Lorsque je me rends sur « https://www.youtube.com », en ayant personnalisé Firefox 69 avec le refus de "Tous les cookies", je constate (en utilisant l'extension « Cookie Quick Manager ») qu'un cookie nommé « GAPS », du domaine « accounts.google.com » (celui-ci étant paramétré sur « Autoriser pour la session » concernant ses cookies), est chargé systématiquement sur mon ordinateur (que je sois en mode navigation privé ou non). Si j'élimine ce cookie il ne réapparait pas tant que je navigue à partir des liens de la page youtube, mais est chargé à nouveau si j'appelle youtube à partir d'un lien se trouvant sur une page externe à youtube, par exemple www.google.fr.
Jusqu'à aujourd'hui, c'est le seul site visité pour lequel j'ai constaté cette anomalie avec cette configuration, même www.google.fr ou news.google.com ne déposent pas de cookies dans ma configuration alors même qu'ils permettent d'accéder à « accounts.google.com ».
Ce dépôt de cookie anormal est rendue possible, me semble-t-il, par une balise iFrame « accounts.google.com » insérée dans la page youtube.com.

Est-ce un bug gênant de Firefox (que j'avais déjà constaté sous Firefox 68.02) ou une tentative volontaire de contournement des interdictions des cookies de la part de Google ?

Cordialement

[Bob49]

Bonjour

J'ai testé selon tes explications et après avoir vérifié qu'aucun cookie n'était présent, avec et sans l'extension... ton problème ne se reproduit pas chez moi. Pas de cookie du domaine « accounts.google.com » dans les options de Firefox, ni dans celles de l'extension !

Tu n'as pas « accounts.google.com » dans les permissions de Firefox ? Cookies et données >> bouton "gérer les permissions"

Pas d'extension liée à Google (Gmail par exemple) ?

Pas de synchronisation avec un autre appareil ayant une connexion avec Google ?

Si pas de tout cela, ton profil est sans doute corrompu !.. Si problème important à tes yeux, vois à réparer le profil... https://support.mozilla.org/fr/kb/repar ... parametres

[HiL22]

Bonjour Bob49,

Comme je l'avais explicitement précisé dans mon 1er message, j'avais le domaine accounts.google.com paramétré sur « Autoriser pour la session ». Et j'avais bien compris que c'était lui le responsable.
En naviguant EXCLUSIVEMENT sur un site W ne possédant aucune autorisation de ma part de dépôt de cookie, je me retrouve avec un nouveau cookie déposé (il n'y en avait aucun au démarrage de ma session) pour un domaine Y sur lequel je ne me trouve pas. J'ai bien compris que cela était réalisé par l'inclusion d'une balise iFrame. Il ne s'agit donc ni d'un problème de mauvais paramétrage, ni d'une quelconque corruption du logiciel.
Le problème est que l'utilisateur de Firefox pense être totalement protégé du dépôt de cookie lors de sa navigation sur des sites précis NE POSSEDANT PAS D'AUTORISATION, mais en fait, A SON INSU, un site peut contourner cette interdiction.
Je pense qu'il faut que Firefox précise ce cas de figure dans son descriptif sur le paramétrage des cookies ou bien, ce qui me parait plus pertinent, que le navigateur empêche ce contournement du paramétrage des cookies que je n'ai constaté à ce jour que dans le cas de Google.

Bien sûr, j'ai supprimé les autorisations de accounts.google pour résoudre le problème, mais cela est loin d'être satisfaisant: je n'ai plus la facilité d'usage de ce domaine. De plus, pourquoi d'autres sites n'utiliseraient pas la même technique pour contourner les paramétrages de cookies de Firefox? Au point de rendre inopérant, en pratique, le réglage des cookies dans ce logiciel ...

Cordialement.

[Agent virtuel]

Bonjour

Pour ma part
GAPS
accounts.google.com

Ne me pose pas de problèmes

Illustration similaire ne me pose pas de problèmes
https://drive.google.com/file/d/165uNBX ... sp=sharing
https://developer.mozilla.org/fr/docs/O ... e_stockage

[Bob49]

Salut

_1_ Tu autorises les cookies pour accounts.google.com qui n'est autre que le système de connexion à tous services de Google.

_2_ GAPS sont les cookies normaux pour la page de connexion de tous les services de Google.

_3_ Tu ne vas pas sur une page de connexion Gmail ou autre, mais seulement sur Youtube (c'est vrai... même sur Google Actu, pas de GAPS..)...

Extrait :

Si j'élimine ce cookie il ne réapparait pas tant que je navigue à partir des liens de la page youtube, mais est chargé à nouveau si j'appelle youtube à partir d'un lien se trouvant sur une page externe à youtube, par exemple www.google.fr.

_4_ Quoi de plus normal d'avoir un cookie pour accounts.google.com, alors que Youtube possède un bouton de connexion pour le système de connexion cité précédemment et que Youtube aurait tendance à inciter les gens à se connecter ses "services" !..
Ce cookie GAPS n'est donc même pas un cookie tiers, mais de service.

_5_ Donc non, il n'y a aucun contournement de la part de Google, puisque ce cookie GAPS sert à la connexion à Youtube-même... Cela dit, tant que tu ne t'identifies pas à un service de Google, ce cookie GAPS ne sert à rien du tout, car pas utilisé.

[Agent virtuel]

Bonjour

Sauf erreur d'interprétation

avec le refus de "Tous les cookies"

https://support.mozilla.org/fr/kb/autor ... nces-sites
Tous les cookies (empêche certains sites de fonctionner)

https://accounts.google.com

Les cookies sont désactivés dans votre navigateur. Veillez à ce qu'ils soient activés, puis réessayez. En savoir plus

[Bob49]

@ Agent virtuel

Sauf erreur d'interprétation

avec le refus de "Tous les cookies"

..........

avec le refus de "Tous les cookies", je constate (en utilisant l'extension « Cookie Quick Manager ») qu'un cookie nommé « GAPS », du domaine « accounts.google.com » (celui-ci étant paramétré sur « Autoriser pour la session » concernant ses cookies)

Et son rappel.......

Comme je l'avais explicitement précisé dans mon 1er message, j'avais le domaine accounts.google.com paramétré sur « Autoriser pour la session ». Et j'avais bien compris que c'était lui le responsable.

**************************************

https://support.mozilla.org/fr/kb/autor ... nces-sites
Tous les cookies (empêche certains sites de fonctionner)
https://accounts.google.com

Les cookies sont désactivés dans votre navigateur. Veillez à ce qu'ils soient activés, puis réessayez. En savoir plus

HiL22 n'a pas de problème de connexion, il voit un cookie où il pense qu'il ne devrait pas y être...

Il voit un cookie GAPS de accounts.google.com lors du seul affichage du site de Youtube et sans affichage du page ayant comme adresse "accounts..."... Ce qui n'est pas anormal, comme je le décris dans mon précédent message.

[Agent virtuel]

Autre
viewtopic.php?f=5&t=141847

[HiL22]

Bonjour à toutes et tous,

Merci pour vos réponses.
Je pense que la situation décrite est claire.
Mais je reste dubitatif sur certains commentaires pour deux raisons:

1) En paramétrant Firefox sur le refus de "Tous les cookies" pour un domaine (ici "youtube.com"), et en interprétant cette commande sur la base du sens normal de ces mots en langue française, je m'attend à ce que, logiquement, aucun cookie ne soit chargé durant ma navigation s'effectuant exclusivement sur ce domaine.
Est-ce le cas? NON.
Et que le cookie soit de service, d'un domaine tiers, quaternaire ou interstellaire ne change rien à cette réalité!

Alors, peut-être que je ne maitrise pas les subtilités de la langue française utilisées dans Firefox? Peut-être que "Tous" signifie "Certains" ou "Majoritairement" en français de Firefox. Mais je pense qu'un locuteur francophone normal interprétera ce "Tous" comme une totalité et non une majorité, et qu'il n'est donc pas correctement informé des implications de son choix.

2) Le cookie chargé, à l'insu de l'utilisateur, ne sert-il vraiment "à rien du tout" comme certains l'affirment?
Aucun élément objectif ne nous le prouve ! Seuls les employés de Google travaillant dans ce secteur pourraient nous le confirmer ... à supposer qu'ils en soient autorisés ...

En conclusion, afin d'être en cohérence avec la (réelle) politique de transparence clairement établit par Firefox, il me semble indispensable que Firefox :
- soit modifie l'intitulé des réglages des cookies, de « Tous les cookies » à « Quasi totalité des cookies » (ou un énoncé similaire).
- soit empêche un tel chargement venant d'une balise iFrame, quand le domaine général de la page est configuré pour ne pas accepter les cookies.

Il n'y a plus qu'à attendre qu'une modification positive sur ce point apparaisse un jour dans Firefox.


Cordialement.

[Agent virtuel]

Bonsoir

Brut d'information
Tous les cookies (empêche certains sites de fonctionner)
https://drive.google.com/file/d/1-soFqj ... sp=sharing

[Bob49]

Salut

2) Le cookie chargé, à l'insu de l'utilisateur, ne sert-il vraiment "à rien du tout" comme certains l'affirment?
Aucun élément objectif ne nous le prouve ! Seuls les employés de Google travaillant dans ce secteur pourraient nous le confirmer ... à supposer qu'ils en soient autorisés ...

Et je l'affirme à nouveau, puisque c'est un cookie de connexion et non un traceur... Maintenant avec un peu de paranoïa ou d'imagination, on peut tout imaginer...

Oui tu peux demander aux employés de Google... *

*Quoi que Google n'utilise pas les cookies traceurs, mais plutôt les scripts (qui passent souvent via les sites par les pubs et les scripts d'analyses, entre autres..)...
Tes recherches sur son moteur sont listés en étant lié à ton adresse IP... Les services de Google que tu utilises, sont scrutés par des robots qui analysent tout ce que tu peux voir toi-même... Pour prendre l'exemple de Gmail, les messages sont décortiqués par des robots pour te renvoyer de la pub via d'autres sites (si pas de bloqueur de pubs et/ou de scripts)...
Bref, toutes tes activités sont listés grâce à ton adresse ip + le compte que tu as.... Et vu que tu as un compte chez Google, tu peux demander ton historique des utilisations de Google et de tous ses services, en étant connecté ou pas.

**************************************************

1) En paramétrant Firefox sur le refus de "Tous les cookies" pour un domaine (ici "youtube.com"), et en interprétant cette commande sur la base du sens normal de ces mots en langue française, je m'attend à ce que, logiquement, aucun cookie ne soit chargé durant ma navigation s'effectuant exclusivement sur ce domaine.
Est-ce le cas? NON.

Le domaine Youtube, n'est pas le domaine de Google... Donc non, si tu bloques seulement ceux de YT, cela n'empêcheront pas ceux du sous-domaine "accounts.google.com". A partir du moment que la page de Youtube est configuré pour faire appelle au cookie de connexion,qui est de surcroit autorisé, donc pourquoi être étonné ?..

En conclusion, afin d'être en cohérence avec la (réelle) politique de transparence clairement établit par Firefox, il me semble indispensable que Firefox :
- soit modifie l'intitulé des réglages des cookies, de « Tous les cookies » à « Quasi totalité des cookies » (ou un énoncé similaire).
- soit empêche un tel chargement venant d'une balise iFrame, quand le domaine général de la page est configuré pour ne pas accepter les cookies.

Il n'y a plus qu'à attendre qu'une modification positive sur ce point apparaisse un jour dans Firefox.

Pas certain qu'il y ait une modification quelconque, mais tu peux toujours poser tes questions sur https://bugzilla.mozilla.org , où tu auras affaire aux développeurs de chez Mozilla.

D'ailleurs la question à te poser, comment bloquer un cookie tiers (c'est le cas pour "accounts.google.com") ou tous les cookies, lorsqu'il est autorisé par moi-même ?

Et oui, si l'on veut bloquer tous les cookies tiers ou tous les cookies, il ne faut pas laisser d'autorisation trainer, y compris pour la session...

Pour rappel (je me répète.. ), "accounts.google.com" n'est pas utilisé pour une session, mais pour une connexion. Donc ses cookies n'étant pas liés à une session, mais à des systèmes spécifiques pour connexion (page ou pop-up), cela change tout.

Cela dit, faire une autorisation pour seulement la session, ses cookies ne seront créés que lors de l'affichage d'une page lié au domaine de Google ou un domaine lié à un de ses services, ce qui est le cas de YT...
******************************
Un autre cas similaire... Il y à deux ans, le Dailymotion à fait en sorte que ses cookies soit obligatoirement autorisés pour le visionnage de ses vidéos intégrés à d'autres sites... Dans ce cas précis, il était aussi devenu utile d'autoriser ses cookies et donc ceux-ci étant créés lors de l'affichage de n'importe quel site faisant un lien via un script lié au Dailymotion. Dans ce cas, ses cookies sont pourtant catégorisés comme tiers, même s'ils sont autorisé que pour une session.

Bien sûr, pas de création de cookies si pas de script vers le Dailymotion...

En résumé : Un cookie autorisé pour un site précis ou un système de connexion (le cas dans ce fil), même pour la session, deviendra un cookie tiers autorisé pour un autre site qui ne sera pas forcément lié au domaine du premier site, sauf lié via un script obligeant l'utilisation les cookies du premier site...
Et il faut pas prendre le mot "session" pour le simple fait d'être sur le site d'un domaine bien précis. Etre sur le site d'un autre domaine peut donner autorisation aux cookies autorisés pour la session du premier domaine. Tel est le cas pour le Daily ou pour YT, mais ce n'est que deux exemples parmi plein d'autres...

Bref, la seule méthode valable (à mon avis) pour ne pas avoir la création des cookies, serait d'autorisé les cookies soi-même, lors de chaque connexion... Ce que je fais en grande partie. Cela dit, si l'on autorise des cookies pour un site et que l'on va sur un autre, ceux du premier peuvent être utilisés sur le second... Ou bien il faut utiliser les onglets contextuels qui permettent de séparer vraiment les autorisations.