Permissions-Policy-Header

Welche Browserfunktionen — Kamera, Mikrofon, Standort — diese Seite und alles darin Eingebettete nutzen dürfen.

• Hilfe

Moderne Browser geben Seiten Zugriff auf mächtige Funktionen: Kamera, Mikrofon, Standort, Zahlungen, USB, Vollbild. Die Permissions-Policy (früher Feature-Policy) legt fest, welche davon die Seite und eingebettete Frames überhaupt nutzen dürfen. Eine per Richtlinie abgeschaltete Funktion kann niemand anfordern – weder Ihr Code noch eingebundene Werbung noch ein eingeschleustes Skript.

So bewertet SiteScan

Jeder Permissions-Policy-Header oder der ältere Feature-Policy-Header gilt als „Stark“: Der Wert hängt so sehr davon ab, was die Website tut, dass es keine allgemein „richtige“ Liste zum Vergleich gibt. Kein Header heißt „Fehlt“. Die Website funktioniert auch ohne ihn, aber alles Eingebettete behält das Recht, Besucher nach diesen Funktionen zu fragen.

So setzen Sie ihn

Schalten Sie alles ab, was Sie nicht nutzen:

Permissions-Policy: camera=(), microphone=(), geolocation=(), payment=(), usb=()

Leere Klammern bedeuten „niemand“. Für die eigenen Seiten erlauben Sie eine Funktion mit geolocation=(self), für einen eingebetteten Partner mit seinem Origin: payment=(self "https://pay.example"). Funktioniert danach eine eingebettete Karte oder ein Videoplayer nicht mehr, erlauben Sie gezielt die Funktion, die er braucht. Der Header zählt zur Sicherheitsnote.