Dans une lettre ouverte adressée à son PDG et signée par 37 chercheurs et universitaires impliqués dans la sécurité informatique et le respect de la vie privée, Google s'est fait secouer les puces. Les signataires lui ont notamment demandé de protéger les communications de ses clients des yeux indiscrets en activant le protocole sécurisé HTTPS pour ses services Gmail, Google Documents et Google Agenda. Des services aussi proposés aux entreprises dans le cadre des Google Apps.

Cette missive a été prise très au sérieux par Google, indiquant se pencher sur la question afin d'activer par défaut HTTPS pour établir une connexion sécurisée entre le navigateur et les serveurs Google ( communications authentifiées et cryptées ), et pendant la durée entière de la session, pas uniquement lors du processus d'identification.

HTTPS est en effet loin d'être étranger aux applications Web de Google, puisque c'est une possibilité offerte dans Gmail. Depuis l'été dernier, via les paramètres de son compte, l'utilisateur peut forcer le service à toujours utiliser ce protocole. C'est d'ailleurs un conseil formulé par Google.

Pour l'heure, la question d'activer par défaut HTTPS pour Gmail, Google Documents et Google Agenda n'a pas encore été tranchée. Google ne donne ainsi pas de date, et précise qu'il faudra évaluer si ce recours par défaut n'a pas d'effets négatifs sur l'expérience utilisateur, avec par exemple un possible ralentissement du service dans certains cas.

Si la lettre s'adresse à Google, les concurrents sont également mentionnés et encore plus sévèrement égratignés. On peut ainsi lire :

" Google n'est pas la seule société Web 2.0 qui laisse ses clients vulnérables au vol de données et au détournement de compte. Les utilisateurs de Microsoft Hotmail, Yahoo! Mail, Facebook et MySpace sont également vulnérables à ces attaques. Le pire est que ces sociétés ne leur offrent aucune protection. Au moins, Google propose à ses utilisateurs avancés un haut niveau de protection. Néanmoins, compte tenu du fait que la protection HTTPS est désactivée par défaut et seulement à activer via une obscure option de configuration, le commun des utilisateurs est susceptible de demeurer vulnérable. "