Identifiants de session liés à l'appareil : deuxième période d'essai d'origine

Daniel Rubery
Daniel Rubery
José Luis Zapata

Les identifiants de session liés à l'appareil (DBSC) entament leur deuxième version d'essai d'origine à partir d'octobre 2025. Cette phase étend les tests aux environnements réels et intègre les commentaires des développeurs issus du premier essai. L'origin trial devrait se dérouler jusqu'à début février 2026.

Nouveautés de cet Origin Trial

Cette version vise à améliorer la fiabilité, la cohérence et la clarté du flux DBSC, tout en introduisant de nouvelles fonctionnalités qui offrent une intégration plus flexible.

Fonctionnalités étendues

  • Prise en charge des sessions multisites : si vous avez plusieurs sites qui partagent le même backend d'authentification, vous pouvez configurer les sessions DBSC pour partager des clés sur ces sites.
  • Nouvel en-tête de diagnostic : le nouvel en-tête Secure-Session-Skipped explique pourquoi une demande d'actualisation n'a pas abouti, ce qui améliore l'observabilité lors des tests.

Mises à jour clés du protocole et de la compatibilité

Le flux DBSC inclut plusieurs modifications techniques notables :

  • Modification des noms d'en-tête : la plupart des en-têtes commencent par le préfixe Secure-Session- au lieu de Sec-Session.
  • Nouveau schéma JWT : un nouveau schéma JWT améliore la cohérence et la standardisation des implémentations.
  • Mise à jour de l'état HTTP : DBSC utilise 403 Forbidden au lieu de 401 Unauthorized dans les flux de validation.
  • Modifications mineures des champs : certains paramètres, comme include_site, sont désormais obligatoires au lieu d'être facultatifs.

Pour obtenir la liste détaillée des mises à jour, consultez la liste des problèmes urgents de Chromium. Consultez également le guide d'intégration.

Disponibilité de la plate-forme

Cet essai d'origine est disponible sur les appareils Windows dotés de modules TPM (Trusted Platform Modules). La compatibilité avec d'autres plates-formes sera étendue.

Comment participer ?

Si vous testez DBSC pour la première fois, commencez les tests manuels en suivant le guide de test. L'intégration des outils de développement est en cours. Le débogage repose donc sur les histogrammes et les journaux réseau de Chrome.

Lorsque votre implémentation est prête, inscrivez-vous pour obtenir un jeton d'évaluation de l'origine :

Ajoutez votre jeton à la page qui émet l'en-tête Secure-Session-Registration, c'est-à-dire généralement votre page de connexion. Vous n'avez pas besoin du jeton sur les points de terminaison d'actualisation ou d'enregistrement.

En savoir plus

Envoyer des commentaires

Nous avons hâte de voir comment vous allez adopter DBSC pour protéger vos sessions contre le vol et le détournement de cookies. Partagez votre expérience et signalez les problèmes sur le dépôt GitHub.

En participant à cet essai d'origine, vous contribuez à façonner la prochaine génération de sécurité des sessions Web.