À quoi sert cette page. Elle rejoue, en miniature et sans danger, les six tours qu’un site malveillant tenterait pour extraire un secret de votre coffre à votre insu. Chaque piège annonce ce que Shield doit faire ; il ne vous reste qu’à vérifier qu’il le fait.
Avant de commencer. Déverrouillez l’extension Shield et gardez au moins une fiche de connexion et une carte dans votre coffre. Aucun secret n’est envoyé nulle part : tout se joue dans cet onglet, et la page n’a aucun serveur derrière elle.
Un piège qui réussit est un bug. Si un verdict passe au rouge, notez le numéro du piège et signalez-le — c’est exactement ce que cette crique est là pour attraper.
Un cadre isolé, sans origine déclarée, réclame un numéro de carte. C’est la technique du navire qui navigue sans pavillon : il espère que Shield le confondra avec le site hôte et lui remette la carte.
Attendu : Shield ne propose aucun remplissage dans ce cadre. Aucune pastille, aucun menu.
Sous le champ visible se cachent trois jumeaux invisibles — hors écran, transparent, hauteur nulle — tous réclamant une carte bancaire. Si Shield remplit « tous les champs de carte de la page », il garnit la soute sans que vous voyiez rien.
Attendu : après un remplissage, seul le champ visible porte une valeur. Les trois champs cachés restent vides.
Ce bloc dessine une barre d’adresse convaincante affichant un autre domaine que celui où vous êtes. Un gestionnaire qui se fierait au texte de la page plutôt qu’à l’adresse réelle livrerait ici les identifiants d’une autre boutique.
Attendu : Shield ne propose que les fiches du domaine réel de cet onglet, jamais celles de ile-au-coffre-securise.com.
Un formulaire de carte apparaît trois secondes après le chargement, injecté par un script. C’est le tour classique du site qui attend que vous ayez baissé la garde — ou que le gestionnaire ait fini son inspection — pour glisser un champ supplémentaire.
Attendu : le champ tardif est traité comme les autres — remplissable seulement sur votre clic explicite, jamais automatiquement.
Le script de la page fabrique de faux clics — sur les champs, et sur tout ce qui ressemble à un déclencheur Shield — puis regarde si quelque chose se remplit. Un vrai clic humain porte une marque que le navigateur refuse de contrefaire ; Shield doit exiger cette marque.
Attendu : rien ne se remplit, aucune fenêtre ne s’ouvre. Les faux clics sont ignorés.
Copier un mot de passe le dépose dans le presse-papiers, où n’importe quelle page ouverte peut le lire. Shield efface ce qu’il y a déposé au bout de trente secondes ; ce guetteur vérifie que l’effacement a bien lieu.
Attendu : passé trente secondes, le presse-papiers ne contient plus le secret copié.