Отключайте autocomplete

[@FTM]

Кроме как в поисковике, автозаполнение более нигде и не нужно, имхо.

[@galk_in]

Автозаполнение поля e-mail тоже?
Я и не знал о таком замечательном тэге. Пошел внедрять для капчи.

[@AndrewTishkin]

Эх, жалко что этот атрибут не validный…
Хочу HTML 5 :"(

[@the_buddha]

Да не переживай, можно закостомайзить DTD

[@damnet]

у ж автозаполнение логинов на домашнем компьютере вреда не принесет, а время входа на ресурс заметрно сократит…

с автором статьи же полностью согласен, часто встречаются автозаполнения где они не нужны…

[@FTM]

Я имел ввиду не менеджер форм, а именно автозаполнение, как в поисковиках: вводишь слово, а он предлагает сам варианты.

[@konfuze]

Это автодополнение

[@arestov]

не все современные браузеры это делают. опера этого не делает. уверен, что если бы спросили почему — ответили бы «по соображениям безопасности»

тем более браузер не должен сохранять то что вводят, если страница отрыта через https протокол или если форма будет отправлена на такую страницу

[@tagir_valeev]

Ради любопытства поставил Оперу. Похоже, вы правы: нашёл только фиксированный набор полей, которые можно задать в Инструменты->Настройки->Формы. Подправил пост, спасибо.

[@Aux]

В плане безопасности разработчики Opera правы — вводить мейл и имя приходится часто и их стоит запомнить в Wand. Запоминать же номера кредиток нельзя ни в коем случае.

[@centur]

Второй пункт успешно выполняется в IE ;)
IE8 (да и IE7 вроде ) не сохраняет данные, отправленные по https.

[@KorP]

>Обычно не забывают, но я сталкивался с этим, к примеру, на сайте Wikiled
ozon.ru там в поиске такая же красота

[@vvsh]

у себя в блоге совсем недавно пооютключал во всех формах с капчей и рад.

[@hoxnox]

Надо же, никогда раньше об этом не задумывался… Спасибо.

[@disserman]

что значит даже. все страницы гугла ужастно свёрстаны, прогоните хоть первую через валидатор. гуглу работать надо а не на стандарты анонировать, с одной стороны это верно, с другой вылазит вот такими косяками в юзабилити.

[@bondbig]

Не стоит онанировать на валидатор, он хорошо работает с чистым html, а у гугла куча ajax'а на любой странице

[@disserman]

аякс запрещает занчит тэги закрывать и значения атрибутов в кавычки брать? ну-ну. с ужасом представляю во что превратится вёртска когда придут вебсокеты.

[@ldv290384e]

а пока владельцы сайтов спохватываются, автозаполнение приходится отключать пользователям…

[@neochapay]

Чесно совсем не знал об этом параметре тега… пошёл ковырять сотни своего кода на отстутствие погрешности…

[@TycoooN]

Думаю, браузеры всё же должны шифровать всю подобную информацию.

[@tagir_valeev]

Если использовать мастер-пароль, то в начале сессии браузер его спросит. Если браузер закрыт (или открыт с другим профайлом), тогда не расшифруешь.

[@Svarog]

Автокомплит кстати особенно раздражает в WebMoney, на капче и коде протекции.

P.S. Автору большуший респект

[@netAn]

У себя проблему решил так — придумал специализацию для браузеров.
В Файрфоксе отключен флэш, и в нем сижу на хабре (потому что бесит идиотская флэш-реклама, подгружающая процессор).

В Эксплорере пользуюсь надежными проверенными сайтами, которые его требуют для совместимости (например, интернет-банкинг).

Опера — бразуер для всего остального, в ней же отключено автозаполнение.

Вот и все дела. Хотя с автором соглашусь — создатель сайтов должен продумывать и такие ньансы, особенно если это связано с биллингами, картами оплаты и прочим подобным.

[@AusTiN]

а AdBlock Plus на Firefox поставить нельзя?

[@Stamm]

Такое я видел даже в Google

И на хабре тоже

[@Source]

Установка мастер-пароля в менеджере паролей Firefox не приводит к шифрованию этого файла, и я не нашёл расширений, которые бы это сделали (подскажите, если знаете такие).

Шифровать наверно расширению не под силу. Зато есть полезное расширение для управления тем, что сохранено: Form History Control

[@tagir_valeev]

Интересная штука, спасибо. С ней можно было обойтись без моей HTML-ки :-)

[@ivolodin]

Думаю для FF 3.5 можно обойтись без плагинов «не сохраняющих 16 значный код», а просто воспользоваться режимом приватного просмотра. Выдержка из хелпа: «Private Browsing prevents information from being recorded on your computer.» и «Form and Search Bar entries: Nothing you enter into text boxes on web pages or the Search bar will be saved for Form autocomplete. „

[@tagir_valeev]

Это вариант, согласен. Правда не всегда удобно: к примеру, я мог искать какие-то товары абстрактно (и я хочу, чтобы запоминались поисковые запросы), сравнивать между собой, кидать в корзину, а потом спонтанно принять решение о покупке. Если я перейду в режим приватного просмотра, то все окошки закроются и кукисы исчезнут. А с ними может быть связана корзина, если я незарегистрирован в шопе. Придётся снова всё искать.

[@betal]

Спасибо, со своей стороны буду добавлять этот атрибут.

[@AlexeyTokar]

насколько я знаю, при https поля форм на запоминаются
а вводить данные кредитке не на https это не особо правильно…

[@tagir_valeev]

Проверил только что в FF в одном из шопов: форма на HTTPS-странице и её target тоже на HTTPS, autocomplete="off" не указано. FF с радостью запомнил номер карточки.

[@AlexeyTokar]

значит я один такой счастливчик :)

[@centur]

Хром тоже запоминает к сожалению.

[@poige]

Иногда наоборот полезно принудительно включить: http://userscripts.org/scripts/show/1315 :-)

[@poige]

Ух ты как ссылочка побилась интересно.

что ж: userscripts.org/scripts/show/1315

[@valeron]

autocomplete=«off» у формы нам когда-то давал единственную ошибку валидации при XHTML. В DotNetNuke 4 это было.
Не совсем валидная фича.
Так что поосторожнее с советами.

[@tagir_valeev]

Я упомянул, что появился он только в HTML5. Жертвовать ли валидностью ради безопасности — тема для отдельного холивара, на ней останавливаться не будем :-) Но простое гугление выдаёт пару полезных советов, как убить двух зайцев. Следующий документ проходит валидацию W3C:
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.1//EN" "http://www.w3.org/TR/xhtml11/DTD/xhtml11.dtd" [
<!ATTLIST input autocomplete CDATA #IMPLIED>
]>
<html xmlns="http://www.w3.org/1999/xhtml" xml:lang="en">
<head><title/></head>
<body>
<div><input type="text" autocomplete="off" name="test"/></div>
</body>
</html>

Допишу апдейт в статью сейчас.

[@valeron]

Иногда валидность это требование…
Даже в DNN все решаемо, но при наличии прямых рук :)

[@firstbyte]

Пользователю нужно отключить сохранение данных форм в браузере.

[@eugenius_nsk]

Ага, и вообще не пользоваться интернетом — это же опасно.

[@Kodeks]

Отличная статья. Спасибо.

[@imwode]

>Это не является проблемой безопасности, но частенько раздражает. Если ваш сайт предлагает ввести капчу, автозаполнение надо выключать, так как она всё равно не повторяется. Такое я видел даже в Google:

И на Хабре

[@Flying]

Большое спасибо за статью, как-то до нее не задумывался о подобном эффекте, а как раз в ближайшее время пригодится.

Единственное небольшое замечание по предложенному в статье способу проверки ввода номера кредитки по регулярному выражению. Номера кредитных карт бывают не только из 16 символов (описание в wikipedia) + еще возможны пробелы.

[@petrovi4]

Из пришедшего на ум — у Мегафона при пополнении счета автозаполнение включено.
Ужасно, признаться, напрягает каждый раз чистить ((

[@ChemAli]

Люди, пожалуйста, не отключайте автокомплит! Реально помогает!
Дайте мне самому решить что отключать, а что нет.

[@akzhan]

Знал и использовал атрибут autocomplete, но чем шире, тем лучше…

Кстати, не знал про запарку с hidden, спасибо.

[@sviridov]

Спасибо, хорошая статья. Не знал про возможность отключать автокомплит.

[@seregagl]

А у меня возникает такая проблема, при объявлении в начале документа

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.1//EN" «www.w3.org/TR/xhtml11/DTD/xhtml11.dtd» [
<!ATTLIST input autocomplete CDATA #IMPLIED>
]>

в firefox начинает отображаться два символа "]>", даже не знаю, что и предпринять

[@torbasow]

И в четвёрке так же… И вообще во всех браузерах, кроме Opera.