Nagłówek Permissions-Policy

Z których funkcji przeglądarki — kamery, mikrofonu, geolokalizacji — wolno korzystać tej stronie i wszystkiemu, co jest w nią osadzone.

• Pomoc

Nowoczesne przeglądarki dają stronom dostęp do potężnych funkcji: kamery, mikrofonu, geolokalizacji, płatności, USB, trybu pełnoekranowego. Permissions-Policy (dawniej Feature-Policy) określa, z których w ogóle mogą korzystać strona i ramki w niej osadzone. Funkcji wyłączonej przez politykę nie da się zażądać — ani twojemu kodowi, ani osadzonej reklamie, ani skryptowi wstrzykniętemu przez atakującego.

Jak ocenia to SiteScan

Każdy nagłówek Permissions-Policy lub starszy Feature-Policy liczy się jako „Mocny”: jego wartość tak bardzo zależy od tego, co robi witryna, że nie istnieje uniwersalnie „poprawna” lista do porównania. Brak nagłówka to „Brak”. Witryna bez niego się nie zepsuje, ale wszystko, co w niej osadzono, zachowuje prawo pytania odwiedzającego o te funkcje.

Jak go ustawić

Wyłącz wszystko, czego nie używasz:

Permissions-Policy: camera=(), microphone=(), geolocation=(), payment=(), usb=()

Puste nawiasy oznaczają „nikt”. Aby zezwolić na funkcję tylko własnym stronom, napisz geolocation=(self); aby zezwolić jednemu osadzonemu partnerowi, dodaj jego origin: payment=(self "https://pay.example"). Jeśli osadzona mapa lub odtwarzacz wideo przestaną działać, sprawdź, której funkcji potrzebują, i zezwól tylko na nią. Nagłówek wchodzi do oceny bezpieczeństwa.