Firefox: zukünftige Web-Features nur noch über HTTPS

Mozilla hat heute angekündigt, zukünftige Erweiterungen der Webplattform nur für Webseiten nutzbar zu machen, die in einem sicheren Kontext, das heißt in der Regel HTTPS, genutzt werden. Damit folgt Mozilla seiner initialen Ankündigung, die bereits im Jahr 2015 gemacht worden ist.

Die verschlüsselte Übertragung von Daten im Web gewinnt immer mehr an Bedeutung. Bereits knapp 68 Prozent aller von Firefox-Nutzern geladenen Webseiten werden über HTTPS anstelle von HTTP übertragen. Auch die unter anderem von Mozilla ins Leben gerufene Certificate Authority (CA) Let’s Encrypt, welche kostenlos Zertifikate für die Nutzung von HTTPS bereitstellt, trägt einen großen Anteil daran.

Längst sind bestimmte Features nur noch in einem sogenannten gesicherten Kontext nutzbar. Von einem sicheren Kontext spricht man bei der Verwendung von HTTPS, aber auch verschlüsselte WebSocket-Verbindungen (wss://) sowie lokale Ressourcen (wie http://localhost/ oder file://) werden als sicherer Kontext betrachtet.

Ab sofort erfordern sämtliche kommende Web-Features in Firefox einen sicheren Kontext. Dabei ist es egal, ob es sich um große Features wie WebVR handelt, neue HTTP Response Header oder gar neue CSS-Eigenschaften. Auf der anderen Seite würde eine Erweiterung wie beispielsweise ein neues Farb-Schlüsselwort in CSS vermutlich nicht zwingend einen sicheren Kontext erfordern.

Ausnahmen sind grundsätzlich möglich. Sollten beispielsweise alle anderen Browser ein Feature auch in einem unsicheren Kontext erlauben, kann es sein, dass Firefox aus Kompatibilitätsgründen folgen muss. Eine weitere Ausnahme-Möglichkeit könnte sich dann ergeben, wenn das Erfordern eines sicheren Kontextes die Implementierung nachweislich verkompliziert. Bei diesen Möglichkeiten soll es sich aber um Ausnahmen und nicht die Regel halten. Über den Umgang von Web-Features, welche bereits in einem unsicheren Kontext gestattet sind, aber aus einer Sicherheits-, Privatsphäre oder UX-Perspektive als problematisch gesehen werden, wird von Fall zu Fall entschieden.

Mozillas Ankündigung kommt nicht überraschend. Bereits im Mai 2015 hat Mozilla angekündigt, dass so der langfristige Plan aussehen wird. Dadurch soll die Verschlüsselung von Inhalten zur Verbesserung der Sicherheit sowie Privatsphäre der Nutzer weiter vorangetrieben werden. Dabei handelt es sich selbstverständlich um keinen Alleingang von Mozilla, auch andere Browserhersteller wie Google verfolgen dieses Ziel.