IEteam, l'équipe de développement du navigateur internet selon Microsoft, a mis les bouchées doubles pour rattraper l'immense retard du mastodonte. Reste le plus dûr à faire : conquérir un public, et vite.

Car l'ensemble des navigateurs compulsifs, l'ensemble des développeurs, bref, l'ensemble du public prescripteur comme on dit en com' est passé à des navigateurs comme Firefox, Safari, Chrome, Opera. Utiliser MSIE est devenu ringard.

En fait, le principal concurrent à débaucher pour MSIE8, c'est... MSIE6.

La nuit des morts-vivants, même le jour

MSIE6 était d'une modernité folle face à un Netscape mourant lors de sa sortie....en 2000.
Mais depuis, de l'eau a passé sous les ponts. Une éternité en informatique, quand on renouvèle son PC en moyenne tous les deux ans.

MSIE avait amené au grand public le support des CSS (même si Opera était précurseur), de l'AJAX (ce qui ne fut exploité pour la première fois qu'en 2005 par Google avec GMail) et plein d'autres fonctions. Microsoft en fait ne respectait pas les normes mais imposait ses standards propriétaires. Des commentaires conditionnels, le VBasic, les JScript embarqués, la balise <object></> par appel DirectX, les propriétés CSS mso-, l'insertion de JScript dans les CSS, sans compter les bricolages.

Et en plus, ces “avancées” propriétaires allaient violemment se retourner contre leur créateur.
À cette époque-là, Microsoft codait non pas pour la sécurité mais pour les fonctionnalités (qui n'étaient pas forcément voulues pour les utilisateurs, à l'exemple des SmartTags). Des trous béants, il y en avait un paquet, aussi bien dans MSIE6 que dans MS-Windows et tout ce qui était produit par Microsoft en général. Maintenant, ils ont retenu la leçon et tentent d'en persuader le monde en devenant profs de sécurité et qu'ils respecteront à la lettre les normes. Ça fait juste pleurer de rire ceux qui ont vécu le métier dûrement par des fautes tierces d'une entreprise qui a un milliard de fois plus les moyens de les éviter qu'eux. Actuellement, 50 % du coût de développement d'un site passe exclusivement dans MSIE et MSIE8 a déjà quelques tares.

Et le “résultat” est là : le simple fait de naviguer sur Internet avec MSIE6 peut immédiatement contaminer votre ordinateur. Même une simple bannière publicitaire peut transformer votre brave machine en zombie aux ordres d'une cyber-criminalité organisée qui monétise chaque machine sous leur contrôle. Et quand on explique à ces “innocentes” victimes les risques, elles croient que cela n'engagent qu'elles, ignorant spams, DDoS, et parasitages en tous genres dont ils se rendent complices.
Cet état de fait est aggravé par le fait que MSIE6 n'est plus supporté ou mis-à-jour par Microsoft depuis Avril 2008. Classé 8^ème plus mauvais logiciel de l'informatique, il est définitivement abandonné sans suite par son éditeur.

Mais alors, s'il est tout plein de défauts, et même à jeter selon son créateur, comment se fait-il que dans les statistiques de fréquentation il y ai autant de cadavres ?

MSIE a été le dernier des derniers des navigateurs à bénéficier d'un système annonçant ses mises à jour. Et il est le plus utilisé par les personnes qui ne connaissent par leur outil informatique. Qui ne prendront jamais l'initiative d'une mise-à-jour. Et qui ne verront jamais celles poussées par Microsoft. La raison ? La scandaleuse position monopolistique de Microsoft, qui a lié MS-Windows avec MSIE. Du coup, ces personnes-là n'ont jamais appris qu'un logiciel vit et doit être mis à jour.
Microsoft n'ayant pas assumé ses responsabilités de leader et de fournisseur ne doit donc plus jamais avoir droit à un tel pouvoir.

Dessin de Martin Vidberg

Oui, une campagne d'éradication a été lancée et suivie.
Certains se mettent à poil, d'autres préfèrent insulter ces visiteurs.

Cela ne me semble pas la bonne solution. D'abord il faut comprendre.

Qui sont effectivement ceux qui utilisent MSIE6 et comment les faire passer à l'heure actuelle ? Comme la lecture des logs Apache, c'est mon dada, je vous ai soigneusement noté et violemment réfléchi mes réflexions.
Cherchons et analysons.

Méthodologie

Étant donné que j'aborde des sujets très divers sur mon site, les requêtes venant via des moteurs de recherche indique des motifs d'arrivés très divers. Ma méthode d'analyse a été simple : relever les adresses IP de toutes les visites indiquées de MSIE6, et les confronter aux tables host et whois.

Cette semaine, ça se partage en environ un tiers d'ADSL, un tiers de proxys d'entreprises et d'administration et un tiers de serveurs.

Catégorie 1 : les vieux ordinateurs

Ceux qui ne sont allumés qu'une fois par mois, qui n'ont pas encore eu la mise à jour automatique ou dont cette fonction a été bloquée par un vieux spyware, adware, connerieware. À moins que cela ne soit une version installée dans une de ces disquettes/CD-rom d'installation de FAI genre FranceExplorer, Infonie, Freesbee, AOL ou Club-Internet avec un MSIE6 brandé à leurs couleurs.

Bien souvent, ces MSIE qui ont été modifiés par le kit idoine ont eu la fonction de mise-à-jour automatique désactivée. Souvent parce que le FAI presseur de galettes comptait encore exister à la version suivante. 6 ans, c'était un peu présumer de leurs forces :).

À tout les coups, la personne qui a ce genre de pc antédiluvien doit râmer, avoir une patience à toute épreuve pour charger une page. Ils ont l'habitude que “ça” plante, qu'“Internet” tombe en panne, de messages bizarres et que les pages soient moches. Ce ne sont pas des internautes très férus. Au mieux, ils l'utilisent une heure par mois (ce qui fait un visiteur unique), passent par le moteur de recherche de wanadoo orange et une forte proportion de ce public militent pour un retour du Franc Français et du Minitel.

Mon remède ? Laisser faire la nature

Souvent des particuliers ou des artisans récupèrent des PC de seconde main, et s'en servent jusqu'à ce que mort s'en suive. Comme un PC de première main est en moyenne remplacé tous les deux ans, et avec les netbooks immensément populaires aux prix comparables aux occasions, on peut faire le pari d'une vague de renouvellement purement mécanique.

Catégorie 2 : les vieux Directeurs Informatiques

La flotte d'entreprise est la principale source actuelle de mes visites avec MSIE6.
Bien souvent, ce sont des directeurs informatiques qui ont bloqué la mise à jour des navigateurs parce que leur intranet a été conçu exclusivement pour MSIE5.5, voire MSIE5 et que ça marchait par miracle avec MSIE6 (merci le doctype switching).

On va écarter l'hypothèse même pas envisageable que ces flottes tournent encore avec MS-Windows 2000, puisque l'ensemble des hits relevés indiquent Windows XP. On va écarter l'hypothèse même pas envisageable que le SP2 n'a même pas été déployé pour une obscure raison comme le piratage généralisé de la licence (sachant qu'en entreprise, la taxe Microsoft est forcément déjà payée de multiples fois), le cas d'un pc upgradée depuis une ancienne version (MS-Win 2000, ME, 98 ou antédiluvienne, ce qui signifie que cette machine est en activité depuis avant 2001 et donc forcément n'a pas la puissance nécessaire pour tenir un logiciel récent sous MS-Windows, et donc ne devrait pas aller sur internet), et celle du proxy d'entreprise qui change à la volée le user-agent, car même si c'est vrai, ce genre de firewall/proxy est en général en licence payante par abonnement, une constante dans les entreprises qui adorent Microsoft, et donc “bénéficient” de mises à jours (UA déclarée comprises).

Inutile de dire que cet intranet doit être particulièrement vieux, doit être codé avec des pieds, manque surement de souplesse sur les besoins actuels de cette multinationale et ne satisfait que son gardien antédiluvien.

Mes logs me ressortent trois principales catégories via ces IP de gros : Banques (CIC, La Poste, BNP Paribas, Société Générale), entreprises “de pointe” (Alcatel, CEA Sarclay, Cogema Marcoule, Hacot & Colombier), rectorats (Université Amiens I, Montpellier II).

Mon remède ? Nettoyage par le vide
Appelez immédiatement leur DRH et faites candidature. Un tel immobilisme doit couter horriblement cher en maintenance d'ordinateurs qui ne sont plus à jour depuis deux ans en antivirus, logiciels de filtrages, et perte de productivité pour cause de machine vérolée qui bloquent tout leur intranet. Consultez les statistiques de fréquentations de vos sites web, préparez vos CV, et appelez directement lesdites entreprises.

Et n'hésitez pas à rappeler, à envoyer une argumentaire béton sur les coûts de maintenance, de sécurité, d'investissement contre-productifs, de RP à recrédibiliser les entreprises sus-nommées,... alors que la remise à niveau de leur intranet leur évitera l'humiliation de passer pour une entreprise du passée qui n'arrive pas à gérer son parc informatique. Proposez-leur de réelles économies quant à la gestion de leur parc informatique en virant pour faute lourde la personne “responsable” d'un tel gâchis financier et irresponsabilité aggravée sur les missions liées à son poste.

Néanmoins, il est probable que cela ne soit qu'une partie infime de parc informatique en question qui ne soit pas à jour. Ce qui n'excuse rien : il existe des solutions de proxy qui isolent les machines suspectes et leur interdisent toute authentification dans le domaine intranet de la société tant qu'une mise-à-jour n'aie pas été faite (Je le sais bien l'ayant vécu, et je salue ici Christophe Duc qui a très bien fait son travail de alors qu'il se faisait copieusement insulter). Après tout, il suffit d'une seule bête malade pour condamner un troupeau. Le fait qu'un seul MSIE6 puisse naviguer sur le grand 'ternet prouve qu'il maitrise mal sa flotte ou que son DSI n'est pas assez parano.

Allez-y, n'ayez aucune pitié, il vous a fait suer pendant des années et il est mieux payé que vous. Piquez-lui la place de ce D.I. ! La facture globale de son poste doit commencer à peser en ces temps de crise économique, son départ sera un immense soupir de soulagement pour tous les autres salariés de cette entreprise, sa place vous est acquise.

Vive le capitalisme.

Catégorie 3 : MSN®/Windows Live™ Search©

Je ne plaisante pas, j'ai régulièrement du traffic de bots qui se déclarent comme MSIE6 (UA déclarée : « Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322) ») et qui viennent de Redmond (l'IP 65.55.110.44 est dans le bloc réservée par Microsoft). Quand je vous parlais en intro de fantômes qui hantent le Microsoft Campus.

Depuis deux ans que j'ai remarqué ce traffic, la raison me semble évidente : Microsoft cherche les failles en exploitation, les nouveaux vecteurs d'infections et les sites malveillants. Ce qui leur permet de proposer à leur tour un service de défense, mais aussi une analyse des ZDE qui apparaissent. Et, tout comme le fait Google et Yahoo, déréférence de leur moteur de recherche ou préviennent dans leurs résultats que ces pages peuvent entraîner l'infection de votre ordinateur. À défaut de vous faire abandonner MSIE6, au moins réduire vos risques.

Or le problème est là : les javascripts sont interprétés (contrairement au bot indexeur de MSN search). Certes, les images ne sont pas chargées, mais si des éléments genre feuilles de styles, programmes javascripts, programmes flash et autres mêmes indéterminés sont appelés par un javascript, il sera chargé. La raison est simple : les auteurs de malwares ont l'habitude de camoufler, crypter, obfusquer leur code pour qu'il soit moins facile à repérer par les antivirus.

Dans mes logs, cela se voit car les bibliothèques slimbox et mootools ne sont pas appelés dans le source HTML, mais par l'interprétation de ma bibliothèque pasflash.js en insertion DOM.

Il est très probable que certains systèmes d'analyses de traffic soient induits en erreur. Ce genre de veille n'est pas à la portée de tout le monde. Est-ce que Google Analytics le voit ? Xiti ? votre Awstats ?
La réponse officielle de Microsoft est assez sibylline : Oui, ça truque vos stats, mais promis juré, on ne charge pas vos pubs.
Je comprend aisément qu'ils ne peuvent communiquer précisément dessus : tous les spécialistes du “référencement poussé” avec les “fermes de liens” se jetteraient sur ce genre d'informations, sans compter les développeurs qui justement écrivent les logiciels malsains que tentent de virer de leurs index Microsoft, Google et Yahoo. L'information est sensible car le danger est réel.
Et le nombre conséquent de pages sur mon site personnel, doublé de son classement honorable dans les moteurs de recherches entraine des visites très régulières. Cela peut monter jusqu'à 35 % des visites avec MSIE6.

Combien de temps avant qu'ils pensent à modifier le UA déclaré ?

À noter pendant l'écriture de ce billet, j'ai eu depuis hier des échanges avec des insiders de Redmond. Au fur et à mesure des mails, ces comportements ont brusquement changé. Preuve que si mon raisonnement a peut-être fait mouche, ces requêtes sont archi-sensibles.
Ainsi ce matin, juste après le passage du MSNbot (« msnbot/1.1 (+http://search.msn.com/msnbot.htm) » sur l'IP 65.55.209.248), des pages ont été entièrement chargées, images insérées en DOM incluses, par un MSIE6 (« Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1) » sur IP 131.107.151.157). Et parallèlement, aussi depuis ce matin, un autre bot passe avec presque les mêmes comportement, que le premier bot décrit. (sauf qu'il est annoncé référant via Google, avec l'IP 213.136.103.59 et l'UA de MSIE7)

Encore une preuve par l'exemple que faire appel aux “spécialistes” du référencement poussé peut être violemment sanctionné par les moteurs de recherche. En général, mes démonstrations de référencement naturel à mes clients suffit à faire oublier la supposée “utilité” de ces rigolos. Sans compter la nouvelle mode des vendeurs en ligne de faire des liens en javascript pour empêcher tout référencement, ce qui ne sert à rien et les sanctionne tout autant.

Pour conclure

Vous devez vous demander pourquoi j'ai passé autant de temps sur un sujet pareil. L'investissement vaut le coup : il permet de savoir qui est l'audience surfant encore avec MSIE6. Mais surtout cela permet de connaitre la réelle pertinence à encore travailler à produire des sites web pour des navigateurs obsolètes. Et j'ai souvent vu des intégrations de site web dont 50 % du temps fut utilisé uniquement sur la résolution de bugs comme l'infâme peekaboo.

Rien que sur mon site, La part de la version 6 par rapport à tous les MSIE a chûté de 20 % à 13 % entre début Février et Fin Mars. Safari l'a déjà doublé. À partir de combien doit-on considérer que le temps de développement spécifique n'est plus rentable pour cet archaïsme ?

Et quelle modernité pour des navigateurs qui se déclarent encore Mozilla version 4 ?
Les bonnes habitudes doivent prendre le pas sur les erreurs : Virons du net MSIE7 maintenant.