Firefox jest jedyną przeglądarką, która otrzymała najwyższe oceny w ostatnim audycie przeprowadzonym przez niemiecką agencję ds. Bezpieczeństwa cybernetycznego - niemiecki Federalny Urząd ds. Bezpieczeństwa Informacji (lub Bundesamt für Sicherheit in der Informationstechnik - BSI).

BSI przetestowało Mozilla Firefox 68 (ESR), Google Chrome 76, Microsoft Internet Explorer 11 i Microsoft Edge 44. Testy nie obejmowały innych przeglądarek, takich jak Safari, Brave, Opera lub Vivaldi. Audyt został przeprowadzony przy użyciu zasad wyszczególnionych w wytycznych dotyczących "nowoczesnych bezpiecznych przeglądarek" opublikowanych przez BSI w ubiegłym miesiącu, we wrześniu 2019 r.

BSI zwykle korzysta z tego przewodnika, aby doradzać agencjom rządowym i firmom z sektora prywatnego, jakie przeglądarki są bezpieczne w użyciu. Niemiecka agencja ds. Bezpieczeństwa cybernetycznego opublikowała pierwsze wytyczne dotyczące bezpiecznych przeglądarek w 2017 r., Ale latem dokonała przeglądu i aktualizacji specyfikacji.

BSI zaktualizowało swój przewodnik w celu uwzględnienia ulepszonych środków bezpieczeństwa dodanych do nowoczesnych przeglądarek, takich jak HSTS, SRI, CSP 2.0, obsługi danych telemetrycznych i ulepszonych mechanizmów obsługi certyfikatów. Zgodnie z nowym przewodnikiem BSI, aby zostać uznaną za "bezpieczną", nowoczesna przeglądarka musi spełniać następujące minimalne wymagania:

- Musi obsługiwać TLS
- Musi mieć listę zaufanych certyfikatów. - Musi obsługiwać certyfikaty rozszerzonej weryfikacji (EV)
- Musi weryfikować załadowane certyfikaty w oparciu o listę odwołania certyfikatów (CRL) lub protokół statusu certyfikatu online (OCSP)
- Przeglądarka musi używać ikon lub kolorowych wyróżnień, aby pokazać, gdy komunikacja ze zdalnym serwerem jest szyfrowana lub w postaci zwykłego tekstu. Połączenia ze zdalnymi stronami internetowymi działającymi na wygasłych certyfikatach muszą być dozwolone tylko po uzyskaniu konkretnej zgody użytkownika
- Musi obsługiwać HTTP Strict Transport Security (HSTS) (RFC 6797)
- Musi obsługiwać zasady Same Origin Policy (SOP) - Musi obsługiwać Content Security Policy (CSP) 2.0
- Musi wspierać integralność pod-zasobów (SRI)
- Musi obsługiwać automatyczne aktualizacje - Musi obsługiwać osobny mechanizm aktualizacji dla kluczowych składników przeglądarki i rozszerzeń
- Aktualizacje przeglądarki muszą być podpisane i weryfikowalne
- Menedżer haseł przeglądarki musi przechowywać hasła w formie zaszyfrowanej - Dostęp do wbudowanego magazynu haseł przeglądarki musi być dozwolony tylko po wprowadzeniu przez użytkownika hasła głównego
- Użytkownik musi mieć możliwość usuwania haseł z menedżera haseł przeglądarki
- Użytkownicy muszą mieć możliwość blokowania lub usuwania plików cookie. Użytkownicy muszą mieć możliwość blokowania lub usuwania historii autouzupełniania
- Użytkownicy muszą mieć możliwość blokowania lub usuwania historii przeglądania
- Administratorzy organizacji muszą mieć możliwość konfigurowania lub blokowania przeglądarki przed wysyłaniem danych telemetrycznych / danych użytkowania - Przeglądarki muszą obsługiwać mechanizm sprawdzania szkodliwych treści / adresów URL
- Przeglądarki powinny umożliwiać organizacjom uruchamianie przechowywanych lokalnie czarnych list adresów URL
- Musi obsługiwać sekcję ustawień, w której użytkownicy mogą włączać / wyłączać wtyczki, rozszerzenia lub JavaScript. Przeglądarki muszą być w stanie importować centralnie utworzone ustawienia konfiguracji, idealne do wdrożeń na dużą skalę w przedsiębiorstwach
- Musi zezwalać administratorom na wyłączanie funkcji synchronizacji profilu w chmurze
- Musi działać po inicjalizacji z minimalnymi uprawnieniami w systemie operacyjnym - Musi obsługiwać piaskownicę. Wszystkie składniki przeglądarki muszą być odizolowane od siebie i systemu operacyjnego. Komunikacja między izolowanymi komponentami może odbywać się tylko za pośrednictwem zdefiniowanych interfejsów. Bezpośredni dostęp do zasobów izolowanych komponentów nie może być możliwy.
- Strony internetowe muszą być od siebie odizolowane, najlepiej w formie niezależnych procesów. Dozwolona jest również izolacja na poziomie wątków.
- Przeglądarki muszą być kodowane przy użyciu języków programowania, które obsługują zabezpieczenia pamięci stosu i stosu. - Producent przeglądarki musi dostarczyć aktualizacje zabezpieczeń nie później niż 21 dni po publicznym ujawnieniu usterki bezpieczeństwa. Jeśli główny dostawca przeglądarki nie dostarczy aktualizacji zabezpieczeń, organizacje muszą przejść do nowej przeglądarki.
- Przeglądarki muszą korzystać z zabezpieczeń pamięci systemu operacyjnego, takich jak Randomization Layout Space Address Layer (ASLR) lub Data Execution Prevention (DEP). - Administratorzy organizacji muszą mieć możliwość regulowania lub blokowania instalacji niesankcjonowanych dodatków / rozszerzeń.

Według BSI Firefox jest jedyną przeglądarką obsługującą wszystkie powyższe wymagania. Obszary, w których wystąpiła awaria innej przeglądarki, obejmują:
- Brak obsługi mechanizmu hasła głównego (Chrome, IE, Edge)
- Brak wbudowanego mechanizmu aktualizacji (IE)
- Brak opcji blokowania gromadzenia danych telemetrycznych (Chrome, IE, Edge)
- Brak wsparcia dla SOP (Same Origin Policy) (IE)
- Brak obsługi CSP (Content Security Policy) (IE)
- Brak wsparcia SRI (integralność podrzędnych zasobów) (IE)
- Brak obsługi profilów przeglądarki, różne konfiguracje (IE, Edge)
- Brak przejrzystości organizacyjnej (Chrome, IE, Edge)