[Firefox] uBlock Origin, uMatrix, NoScript

Iceweasel et modules

La question de savoir s’il est recommandable d’utiliser à la fois uMatrix avec uBlock Origin ou de décider quel module est préférable est laissée à votre appréciation. Quant à NoScript, il reste indispensable. L’important en tous cas est de mettre ces deux modules en service minimum avant de les utiliser avec uMatrix.

Préliminaires

En fait, NoScript et uBlockO suffiraient bien, sans avoir recours à uMatrix. Cependant, NoScript est assez long à vraiment bien maîtriser.
C’est pourquoi uMatrix peut être un bon choix pour pratiquement (mais pas tout à fait) remplacer NoScript.

Vous pouvez installer uMatrix avec uBlock Origin et désactiver l’un ou l’autre, au cours de vos essais, ce qui vous évite de changer leurs paramètres.

Pour utiliser ces modules :

uBlock Origin pour les débutants

uBlockO a l’avantage d’être accessible à tous car on peut le configurer de façon minimale, comme un bloqueur de pubs et autres, sans s’occuper de la matrice, mais en allant simplement cocher la plupart des filtres statiques dans le tableau de bord.

Ensuite, la matrice de uBlockO activée (bien moins élaborée que celle de uMatrix), peut servir d’apprentissage avant de passer à uMatrix.

Mais vous pouvez très bien vous contenter de uBlockO, avec ses filtres statiques et sa matrice. C’est déjà une très bonne introduction aux complexités du web et un bonne protection avec, toujours, NoScript en service minimum.

Les filtres statiques de uBlockO

Les filtres statiques de uBlockO sont un atout majeur, en particulier ceux que Gorhill, l’auteur de ce module, a concoctés lui-même.

Il peut donc être avantageux et agréable de conserver uBlockO même si vous utilisez uMatrix, surtout si vous débutez avec ce dernier. Voyez plus loin dans cet article comment mettre uBlockO en service minimum de sorte qu’il n’interfère pas avec uMatrix.

Filtres de Gorhill

Les filtres propres à uBlockO (1ère section dans l’onglet «Filtres tiers»), proposés par Gorhill, sont très appréciables, en particulier celui qui bloque carrément l’accès à quelques sites comme Sourceforge.net. Quand on sait comment Sourceforge a maltraité GIMP, en particulier, il faut éviter de cliquer sur un lien nous emmenant sur cette plateforme. Il peut arriver que nous ne fassions pas attention au «dessous» du lien nous indiquant un logiciel libre, ce qui nous propulse sur Sourceforge malgré nous.
Voici la page que uBlockO affiche dans Firefox au lieu de vous laisser entrer dans Sourceforge :
uBlock bloquant Sourceforge

Le blocage de sites complets, à la manière dont le fait uBlockO (spectaculaire mais juste un clic pour le déblocage), fait prendre conscience aux internautes qu’il existe des plateformes de téléchargement de logiciels libres qui sont néfastes.

Le blocage radical dans uMatrix est également très efficace mais il faut faire un peu de travail vous-même.
Maintenant que vous savez que Sourceforge est néfaste, vous pouvez le bloquer carrément dans uMatrix sans avoir besoin du filtre statique inclus dans uBlockO. Voyez uMatrix avec Firefox – 3 : les «scopes».
Contrairement à uBlockO, le blocage radical à la façon uMatrix ne se débloque pas d’un clic.

Autres filtres

Dans uBlockO, vous pouvez activer des filtres secondaires comme «Fanboy’s Enhanced Tracking List» ou «Fanboy’s Annoyance List» qui vous débarrassent d’images inutiles tels que des logos Facebook ou Twitter sur les sites web. Néanmoins, ces mêmes listes bloquent aussi les images RSS, ce qui est dommage. Mais :

Jeu de cache-cache

uBlockO vous permet à l’inverse de faire disparaître d’une page web des éléments qui vous gênent, presque à volonté. C’est amusant et pédagogique. Voyez un exemple là-bas : Comment utiliser uBlock Origin – 4.
En fait, depuis la rédaction de cet article, uBlock Origin rend les choses plus simples. Quelques icônes dans l’interface du module (clic sur son iĉone dans la barre de Firefox) vous permettent de bloquer ou de débloquer l’affichage d’icônes RSS, par exemple, ou de polices de caractères distantes — ces dernières venant de Google, il faut les bloquer dans l’onglet des paramétrages de uBlockO. Voyez Comment utiliser uBlock Origin – 3

uBlock Origin avec uMatrix ?

On peut considérer que uBlockO n’est pas nécessaire avec uMatrix car les deux modules sont tout à fait indépendants.

Les filtres statiques inclus dans uBlockO («EasyList» et autres) sont à peu près tous superflus grâce aux filtres de uMatrix et en interdisant les «frames», sauf exceptions, car c’est dans ces «cadres» que se cache la majorité des chausses-trappes qui vous espionnent ou peuvent compromettre la sécurité de votre ordinateur.

En interdisant également toutes les requêtes venant des sites tiers, sauf très rares exceptions, vous interdisez du coup la majorité des pubs et des scripts qui enregistrent tout de votre navigation.

Tous les internautes ne supportent pas les contraintes de navigation et la privation des décorations et des images de sites plutôt mal faits et potentiellement néfastes, mais uMatrix vous donne toute latitude pour vos réglages. Vous êtes donc vraiment libres de surfer comme il vous convient.

En revanche, NoScript est plus compliqué à ajuster. Il faut vraiment se plonger dans la documentation qui est d’ailleurs très fournie.

uBlock Origin en service minimum avec NoScript ?

Grâce aux filtres statiques de uBlockO, il serait possible de l’utiliser comme auxilliaire de NoScript configuré alors drastiquement, pour bloquer scripts et autres maléfices. Mais c’est une utilisation plus difficile que l’inverse.

Conclusion ?

Commencer par uBlockO semble une bonne idée et ensuite à vous de voir si vous voulez aller plus loin et y aller sans uBlockO mais avec uMatrix, seulement.

En tous cas, ces deux modules nous apprennent à comprendre, chacun d’une manière un peu différente, la complexité des pages web et à ne plus surfer passivement et naïvement.

Enfin, quitte à rabacher, gardez NoScript (en service minimum), que vous utilisiez uBlockO ou uMatrix, ou les deux à la fois. Voyez [Firefox] Comment utiliser uBlock Origin – 2

uMatrix,avec uBlock Origin et NoScript

Une fois que vous savez utiliser la matrice colorée (uMatrix avec Firefox — 1 : la matrice en action et que vous avez même paramétré uMatrix (uMatrix avec Firefox — 2 : le tableau de bord), vous pouvez réactiver uBlockO mais il faut mettre les deux modules, uBlockO et NoScript, en service minimum.

uBlock Origin et uMatrix

Pour conserver uBlockO avec uMatrix, il faut modifier la configuration du premier module. Si besoin, voyez l’article de référence, [Firefox] Comment utiliser uBlock Origin – 3.

Voici la marche à suivre :

  1. D’un clic sur la 2e colonne, et éventuellement sur la 3e, correspondant à la cellule «Tout», passez toute la matrice de uBlockO en gris foncé, puis d’un nouveau clic sur la même couleur, passez-là en gris clair — la matrice est alors vraiment neutralisée.
  2. Dans le tableau de bord > onglet «Liste de filtres», décochez tout ce qui fait double emploi avec les filtres de uMatrix (sections «Domaines malveillants» et «Tout usage»)
  3. Les filtres dynamiques dans uBlockO peuvent être tous supprimés ou du moins réglés à «no-op»
  4. Dans le tableau de bord > onglet «Confidentialité»,(«Privacy»), décochez le paramètre «Hyperlink auditing» («audit hyperlien») qui fait doublon avec uMatrix.

Quelques explications :

  • La première opération désactive tous les filtres dynamiques mis en place dans uBlockO.
  • La deuxième opération désactive les filtres statiques qui feraient doublon avec ceux de uMatrix. Comparez avec le «Fichier Hosts» de uMatrix.
  • La troisième opération désactive un paramètre qui existe dans le tableau de bord de uBlockO, donc si vous utilisez les deux modules ensemble, il vaudrait mieux désactiver ce paramètre chez uBlockO.
  • La quatrième opération évite tout doublon ou tout interférence avec les filtres dynamiques de uMatrix.

uMatrix sans uBlock Origin ?

uMatrix peut se passer de uBlockO si vous êtes attentifs à votre navigation et prêts à bloquer de nombreuses requêtes venant des pages que vous consultez ou des sites tiers associés à ces pages. Voyez l’exemple de deux journaux en ligne dans l’article suivant : uMatrix avec Firefox — 3 : les «scopes».

uMatrix avec NoScript

Rappel : Il est recommandé de conserver NoScript (en service minimum) pour les raisons indiquées dans l’article Comment utiliser uBlock Origin – 2.
Pour utiliser uMatrix avec NoScript, reportez-vous à ce même article.

Autres modules ?

Choix de modules pour Firefox.


Bonne navigation :-) et à bientôt pour Tor Browser, une autre façon de naviguer sur le web — NoScript inclus : Tor Browser : Anonymement vôtre.

5 commentaires

  • VAN DORSSELAERE

    Bonjour,

    Je trouve votre tuto très explicite.

    Merci

  • Pas de quoi. J’aurais une question, un peu hors-sujet… mais pas tant que ça :) Si tu as 5min :
    Avant de me connaître ton site, je n’utilisais ni uMatrix ni NoScript. Grâce à tes indications, c’est presque les seuls que j’utilise lol

    Avant de faire ce changement, j’utilisais d’autres modules. Peux-tu me dire si ça vaut la peine de les conserver ? (sachant que j’ai paramétré uMatrix et NoScript comme suggéré)
    – BetterPrivacy-signed (car je dois malgré tout autoriser quelques cookies)
    – Decentraleyes
    – Disconnect (pour les cas où je dois autoriser une case dans uMatrix ?)
    – Google search link fix (pour les peu de fois où j’utilise Google)
    – HeaderControlRevived finalement remplacé par « Spoof HTTP referrer » de uMatrix et about:config
    network.http.sendRefererHeader => 1
    network.http.referer.XOriginPolicy => 1
    network.http.referer.trimmingPolicy => 2
    network.http.referer.spoofSource => true
    – HTTPS Everywhere supprimé et remplacé par l’option « Strict HTTPS: forbid mixed content. » de uMatrix
    – Lastpass : oui, je sais mais la synchro entre tous mes appareils est quasi indispensable…
    – Privacy badger (parce-qu’il est fait par la EFF lol Au bout de 2 semaines, la qualité du blocage me semble limite, non ?)
    – Privacy Settings (en standby car j’ai modifié beaucoup de choses dans about:config. J’attends de voir si ça s’écrase après une mise à jour FF. Si c’est le cas, j’utiliserais ce module)
    – Random Agent Spoofer. J’imagine que j’en ai plus besoin avec l’option « Spoof User-Agent string » de uMatrix
    – Self-destructing cookies (redondant avec les options Privacy de uMatrix et le blocage des cookies par défaut)
    – Stop Fingerprinting (pas sûr que ça soit utile vu les options activées dans uMatrix)
    – WOT (je garde)

    Enfin bref, je découvre pas mal de choses en ce moment pour améliorer FF alors tes conseils seraient les bienvenus.
    Merci encore pour ton partage !

    • Liberté GNU/Linux

      Une partie des réponses se trouve là-bas : Choix de modules pour Firefox
      Stop Fingerprinting a l’air intéressant, je vais regarder.
      Les Agents spoofers sont redondants et pas sûr que ce soit bien utile ni malin mais la liste par défaut de uMatrix a besoin d’être modifiée — voir le lien sur l’onglet des paramètres de uMatrix.

      Pour le reste, je vais regarder tranquillement.

  • Je pense que conserver NoScript n’est pas nécessaire. uBlockO et uMatrix suffisent très bien à eux deux.

    Certes, NoScript permet de se protéger de saletés comme le XSS et le clicjacking (pour ne citer que ces deux-là), ce qu’aucun des des deux modules pré-cités ne permet directement. Cependant, il se veut, en contrepartie, très agressif vis-à-vis de certaines pages web, même en service minimum (j’ai pendant longtemps utilisé la configuration que tu suggères pour faire cohabiter les trois modules). C’est simple, dès que NoScript bloquait quelque chose, je me retrouvais la plupart du temps à devoir désactiver le module et redémarrer le navigateur. Pas très pratique, et ça rend le module inefficace.

    De plus, tu l’as dit toi-même en parlant des frames : « c’est dans ces «cadres» que se cache la majorité des chausses-trappes qui vous espionnent ou peuvent compromettre la sécurité de votre ordinateur. » et uMatrix se charge de les bloquer par défaut. Un surfer averti (et je pense que la plupart des utilisateurs de uMatrix le sont) saura donc se prémunir efficacement contre ce genre de menaces.

    Personnellement, je recommanderais deux types de configuration de modules.

    La première, plus « user-friendly » et moins sécurisée, qui ne requiert plus d’intervention de la part de l’utilisateur une fois les modules configurés, mais qui ne protégera donc pas de menaces comme le clicjacking et XSS :
    – uBlock Origin
    -Self-Destructing Cookies (en utilisant l’option qui permet de vider le cache à intervalle régulier)
    -Canvas Blocker (qui autorise par défaut au navigateur de lire les canvas mais renvoie de fausses données)
    – Decentraleyes
    – Pure URL (pour empêcher le tracking via la barre d’adresse)
    – HTTPS Everywhere

    Eventuellement BetterPrivacy si vous utilisez Flash, mais je vous recommande plutôt de se passer du plugin.

    Enfin, ma configuration perso’, que je recommande aux utilisateurs avancés vraiment soucieux de leur vie privée et qui n’ont pas peur (ou la flemme :P) de devoir régulièrement modifier les réglages de uMatrix :
    – uMatrix avec les cookies, les plugins et les frames bloqués globalement et tous les éléments du domaine de la page autorisés. C’est également ce module qui est en charge de gérer les cookies, le cache, le référent HTTP et l’user agent.
    – uBlockO sans la matrice (case « utilisateur avancée » décochée) et sans les fichiers hosts faisant doublon avec ceux de uMatrix, comme suggéré dans l’article. Certains semblent préférer laisser uBlockO gérer TOUS les fichiers hosts et donc décocher ceux de uMatrix. Je ne pense pas qu’il y ait de méthode préférable à l’autre (mais je peux me tromper !), c’est à vous de voir. L’usage principal du module sera le filtrage cosmétique (pour bloquer des éléments précis sur une page web) et le blocage de polices distantes.
    – Decentraleyes
    – Canvas Blocker
    – Pure URL
    – HTTPS Everywhere

    • Liberté GNU/Linux

      Bonjour Bamih,

      Merci de ton long message auquel je réponds très tardivement mais que j’avais déjà bien apprécié.

      • Je n’ai pas encore eu le temps d’aller voir Pure Url.
      • Je suis d’accord avec tes conseils d’extension et de configuration.
      • Je n’ai jamais eu de blocage dû à NoScript, donc merci à toi d’avoir signalé cette possibilité et de faire cette mise en garde.
      • C’est sûr que j’hésite un peu à installer NoScript chez les gens car trop d’extensions finissent par peser pour de vieux ordinateurs avec Firefox mais en même temps, j’ai eu une fois un avertissement XSS de la part de NoScript. Je me dis que c’était peut-être un truc dangereux.
      • Je me dis aussi que si une extension n’est pas compatible pendant un temps avec un nouveau Firefox, une autre extension assure une protection minimale, que ce soit NoScript ou uBlockO, ou uMatrix. Avec Firefox-ESR, ce risque est à peu près nul.

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *