« Même si la presse qui a rapporté cette affaire a grandement exagéré les conséquences du partage des ID, nous prenons cette question au sérieux » explique Mike Vernal, l'un des développeurs de la plateforme. Ce dernier en profite pour rappeler le contexte technique de cette affaire controversée : « Lorsqu'un navigateur charge des images ou tout autre contenu sur une page Web, il lui arrive d'envoyer un entête http qui identifie l'URL de la page Web contenant la ressource. Dans le cas de Facebook où les applications exploitent des iframes, lorsqu'un utilisateur accepte l'application, l'URL de l'iframe peut contenir l'ID de l'utilisateur. Cette ID est incluse pour permettre à l'application de construire une expérience de jeu personnalisée. »
Pour pallier le problème, Facebook cherche donc non pas à faire disparaître la présence d'un moyen d'identification de l'utilisateur - nécessaire à l'expérience de jeu dans certains cas - mais à le crypter pour le rendre inexploitable par des tiers. Les développeurs ont d'ailleurs publié leurs suggestions sur le site, en toute transparence.
Prochainement, les ID seront chiffrées et seules les applications les utilisant pourront les déchiffrer au besoin, par l'intermédiaire d'une « clé secrète » propre à chaque application. « Cela permettra d'éviter la divulgation accidentelle de cette information par-têtes HTTP » assure Mike Vernal.
La solution devrait, à terme, être intégrée à toutes les applications utilisées sur Facebook, et éviter la fuite intempestive des ID utilisateurs. Le développeur conclut néanmoins son billet en indiquant que si le problème est en voie d'être réglé sur le réseau social, il persiste « à grande échelle » sur le Web.
