[38] アドレスバーは、表示中の Webページの URL を利用者に提示したり、利用者が URL を記入して navigate を指示したりできる Webブラウザーの利用者インターフェイス部品です。
[39] ほとんどの Webブラウザーが何らかの形のアドレスバーを実装しています。 しかしその形態は様々です。 URL をそのまま表示するものもあれば、各部に分解して利用者にわかりやすく (と当該 Webブラウザー開発者が信じる形で) 表示するものもあります。 利用者からの指示には URL だけでなく、不完全な URL のようなものや、 検索エンジン用の検索キーワードを利用できるのも一般的です。
[117] Webブラウザーのアドレスバーにおける URL の表示は、利用者がWebサイトの提供元を確認するための重要な情報と考えられています。
[116] Webブラウザーや任意の起源を表示できる埋め込みブラウザーなどでは、 URL を表示できないとしたらセキュリティー上の致命的な不具合であると考えられています。
[115] スラッシュドット ジャパン | ユーザーの意識からURLが消滅する日は近い? http://slashdot.jp/article.pl?sid=06/10/17/1950226&from=rss (名無しさん 2006-10-20 00:27:03 +00:00)
[9] service identity, EV も参照。
[54] 多くの Webブラウザーは、 アドレスバーに Web頁の HTTPS状態を表示します。
[55] EV証明書かどうかも表示に影響します。 ただし EV証明書より混合内容の表示が優先されます >>53。
[56] 利用者エージェントが通常最上位閲覧文脈が保安であるかどうかを表示する場合にあっては、 混合内容があるとき、 このことを示すべきです。 保安である場合と同じ表示にしてはなりません。 >>53
[101]
ただし、
文書の厳密混合内容検査フラグが真のとき、
混合内容の表示をしてはなりません。
>>62
block-all-mixed-content
指令が指定されている時このフラグが設定されます。
その場合混合内容要求はすべてエラーになるため、
表示する必要がないのです。
[58]
文書の関連設定群オブジェクトについて
Does settings prohibit mixed security contexts?
が真を帰す場合であって、
action
属性値が先験的認証済URL
でないような
form
要素が文書中に存在する場合にあっては、
このことを利用者に警告して構いません。
>>53
formaction にも同趣旨が適用されるものと思われますが、
仕様書になく、実装がどうなっているか不明です。[57] 混合内容の表示がある場合、 これを AT 利用者に対してアクセシビリティーAPI を通じて提供しなければなりません。 >>53
[64]
混合内容の処理の方法について、
利用者が指示できる利用者インターフェイスが提供される場合があります。
[32] Opportunistic Security for HTTP/2 により http: URL
を TLS を使って取得した場合であっても、 https:
URL のような表示としてはなりません >>31。
[33] Chrome は、 TLS により安全かどうかの表示の部分で、
chrome: のような特別な URL scheme のとき、
https: とも http: とも違う特別な表示を行います。
[74] Chromium Blog: An Update on the Lock Icon, , https://blog.chromium.org/2023/05/an-update-on-lock-icon.html
[75] Google、Chrome で HTTPS 接続時のアイコンをセキュア感の低いものに変更する計画 | スラド セキュリティ, https://security.srad.jp/story/23/05/05/0437203/
[34] 利用者が入力を進めるに応じて、あるいは自動補完候補の選択の兆しを見せるのに合わせて、 先読みを始める Webブラウザーもあります。
[35] Webページ上での指定における dns-prefetch や prefetch
に相当する動作と考えられます。
[76] mDNSの動作検証 | 猫とセキュリティ, https://nekotosec.com/investigated-the-operation-of-mdns/
[40] アドレスバーに favicon を表示する Webブラウザーもあります。
[41] アドレスバー近辺に busy indicator を表示する Webブラウザーもあります。
Location Bar is a widget in a Web user agent's user interface which displays (and often allows input of) the textual location (entered as a URI) of the resource being requested (or displayed - after the response is received).
[1]
Hacking for Christ: Location Bar Proposal (2007-02-17 12:04:48 +09:00 版) http://weblogs.mozillazine.org/gerv/archives/2007/02/location_bar_proposal.html
(名無しさん 2007-02-17 03:07:22 +00:00)
[2]
Taken SPC : 翻訳: ロケーションバーの提案 (2007-02-17 12:05:20 +09:00 版) http://taken.s101.xrea.com/blog/article.php?id=722
(名無しさん 2007-02-17 03:13:16 +00:00)
[3] IT戦記 - ロケーションバーに直入力するとブクマを見に行って補完してくれるコンポーネント作った ( 版) http://d.hatena.ne.jp/amachang/20070827/1188237639
User agents MUST make information about the identity of the Web site that a user interacts with available. This [Definition: identity signal ] SHOULD be part of primary user interface during usage modes which entail the presence of signaling to the user beyond only presenting page content. Otherwise, it MUST be available through secondary user interface.
If you specify URL without protocol:// prefix, curl will attempt to guess what protocol you might want. It will then default to HTTP but try other protocols based on often-used host name prefixes. For example, for host names starting with "ftp." curl will assume you want to speak FTP.
curl will do its best to use what you pass to it as a URL. It is not trying to validate it as a syntactically correct URL by any means but is instead very liberal with what it accepts.
[8] Chrome でアドレスバーを無編集のまま Enter すると、
再読み込みとみなされるのか、 Cache-Control: max-age=0
が付くようです。
Historically, Chrome has not explicitly labelled HTTP connections as non-secure. Beginning in January 2017 (Chrome 56), we’ll mark HTTP sites that transmit passwords or credit cards as non-secure, as part of a long-term plan to mark all HTTP sites as non-secure.
[26] Avoiding the Not Secure Warning in Chrome | Web | Google Developers () https://developers.google.com/web/updates/2016/10/avoid-not-secure-warn
たしかに、2004 年ごろに流行したフィッシングの手口では、アドレスバーの上に枠のないウィンドウを乗せる手法により、偽サイト上でアドレスバーに本物サイトのアドレスを表示していました。しかし、これは、Windows XP SP1 (Service Pack 1) の Internet Explorer 6 SP1 を使用した場合に可能なことで、その後にリリースされた Windows XP SP2 や、Internet Explorer 6 SP2 では、そのような偽装ができないよう対策されています。
[28] Google Online Security Blog: Next Steps Toward More Connection Security () https://security.googleblog.com/2017/04/next-steps-toward-more-connection.html
[30] 909326 - [UX] Overhaul the site identity and connection information in the identity panel () https://bugzilla.mozilla.org/show_bug.cgi?id=909326
[36] 9月の月例更新でInternet Explorerの検索ボックスが復活 | スラド IT () https://it.srad.jp/story/17/09/16/024245/
[37] Internet Explorerのアドレスバーに入力した内容をWebページが読み取れるバグ | スラド セキュリティ () https://security.srad.jp/story/17/09/30/1832253/
[43] New in Chrome 62 | Web | Google Developers () https://developers.google.com/web/updates/2017/10/nic62
[44] EV証明書を使用して既知の企業になりすませる可能性が指摘される | スラド セキュリティ () https://security.srad.jp/story/17/12/15/2110233/
[45] Release Notes for Safari Technology Preview 46 | WebKit () https://webkit.org/blog/8042/release-notes-for-safari-technology-preview-46/
[46] Firefox Focus Adds Quick Access Without Sacrificing Users’ Privacy - The Mozilla Blog () https://blog.mozilla.org/blog/2017/12/13/firefox-focus-adds-quick-access-without-sacrificing-users-privacy/
Beginning in July 2018 with the release of Chrome 68, Chrome will mark all HTTP sites as “not secure”.
[48] Proposal: FetchEvent.navigationLoadType · Issue #1167 · w3c/ServiceWorker () https://github.com/w3c/ServiceWorker/issues/1167
[49] Chromium Blog: Evolving Chrome's security indicators () https://blog.chromium.org/2018/05/evolving-chromes-security-indicators.html
[51] 881410 - Incorrect transforms when stripping subdomains - chromium - Monorail () https://bugs.chromium.org/p/chromium/issues/detail?id=881410
[52] やまざきkei5さんのツイート: "Chrome 69 のアドレスバーで、URLのホスト名部分の「www」や「m」が表示省略される件、いくつでも消えるし、間にあっても消えるのね。「http:// https://t.co/ENCotKKZmf」が「https://t.co/XNf4qCOXck」に見える。もしmやwwwというサブドメインが取れる状況があれば、なりすましに使えそう。" () https://twitter.com/ymzkei5/status/1037961591461826561
[65] Firefox 75で導入されたアドレスバーの拡大/縮小仕様、てんかんの引き金になると報告を受け対応 | スラド オープンソース () https://opensource.srad.jp/story/20/06/15/1227240/
[66] curl - How To Use (, ) https://curl.haxx.se/docs/manpage.html#--url
[67] GNU Wget 1.20 Manual () https://www.gnu.org/software/wget/manual/wget.html#index-URL-syntax
--podcast-urls=<string> Podcast URLs list
Enter the list of podcasts to retrieve, separated by '|' (pipe).
[69] 6億台以上のブラウザは現在もアドレスバー騙しバグが未修正、AppleのSafari、Opera、Yandexなどは修正済み | TechCrunch Japan (Zack Whittaker, ) https://jp.techcrunch.com/2020/10/21/2020-10-20-apple-opera-fix-browser-address-bar-spoofing/
[70] 1141691 - Default omnibox navigations to HTTPS () https://bugs.chromium.org/p/chromium/issues/detail?id=1141691
[71] LunascapeとSleipnirに報告した脆弱性の話(スマホアプリではとにかくHTTPSを使え2021) · GitHub, https://gist.github.com/mala/bd4ff6aa4384f4266e518527bcf618c9
[72] Chromium Blog: A safer default for navigation: HTTPS (, ) https://blog.chromium.org/2021/03/a-safer-default-for-navigation-https.html
[73] Website typo protection defends against fraud including phishing, malware, and other scams - Microsoft Edge Blog, Microsoft Edge Blog, https://blogs.windows.com/msedgedev/2022/10/17/website-typo-protection-typosquatting/
[78] 高木浩光@自宅の日記 - 新はてなブックマークの登録ブックマークレットは使ってはいけない, 高木浩光, , http://takagi-hiromitsu.jp/diary/20081125.html
[77] 高木浩光@自宅の日記 - はてブiPhoneアプリでログインしてはいけない, 高木浩光, , http://takagi-hiromitsu.jp/diary/20100223.html
[79]
最近の Chrome はアドレスバーの補完候補の履歴の URL の http:
まで勝手に https: に置き換えてしまう (一度も https: で接続できていないのに)
とか行き過ぎてて奇行のレベルだろ。。。
[80] セキュリティーを名目にセキュリティー強化ではなくまともに動くものを動かなくする悪習はいつになったらやめてくれるのだろうか。