Apple renforce la sécurité des codes d’accès uniques basés sur les SMS en les liant à des domaines

En janvier, l’équipe WebKit d’Apple a suggéré un nouveau format pour les codes d’accès SMS à usage unique qui les rendraient plus sécurisés. Maintenant, Apple a annoncé que les développeurs peuvent déjà profiter de cette fonctionnalité dans un nouveau post sur son site Web pour développeurs.

Selon l’article, Apple permettra désormais aux développeurs d’associer leurs codes d’accès à usage unique à un domaine, permettant à Safari sur iPhone, iPad et Mac de vérifier que le code est associé au bon domaine avant de proposer d’utiliser la saisie automatique.

Apple appelle cette nouvelle fonctionnalité «codes liés au domaine» et elle devrait empêcher la génération de faux codes, puis le remplissage automatique par Safari.

Lorsque vous utilisez un code lié à un domaine, la saisie automatique suggère le code si – et seulement si – le domaine correspond au site Web ou à l’un des domaines associés à votre application. Par exemple, si vous recevez un message SMS qui se termine par @ example.com # 123456, AutoFill vous proposera de remplir ce code lorsqu’ils interagissent avec example.com, l’un de ses sous-domaines ou une application associée à example.com. Si à la place vous recevez un message SMS qui se termine par @ example.net # 123456, AutoFill ne proposera pas le code sur example.com ou dans l’application associée d’example.com. Cela rend plus difficile pour un attaquant de tromper quelqu’un pour qu’il saisisse des codes à usage unique dans un site de phishing.

Apple note que cette décision ne signifie pas pour autant que les codes standard ne seront plus pris en charge. Ils le seront, mais cela suggère que les développeurs tirent également parti des nouveaux codes liés au domaine.

Alors qu’iOS et macOS afficheront également des codes envoyés par SMS en plus des codes liés au domaine, nous encourageons tous ceux qui utilisent cette méthode d’authentification à adopter cette norme pour offrir une expérience plus sécurisée aux personnes sur votre site Web ou votre application. Si un message ne contient aucune information de domaine, il continuera à être proposé dans tous les champs pertinents via la saisie automatique.

Tout cela prend effet lorsque iOS 14, iPadOS 14 et macOS 11 Big Sur arrivent cet automne.

Les développeurs peuvent en savoir plus sur la mise en œuvre des nouveaux codes sur le portail des développeurs d’Apple.