Заголовок Permissions-Policy

Какими возможностями браузера — камерой, микрофоном, геолокацией — разрешено пользоваться этой странице и всему, что в неё встроено.

• Помощь

Современные браузеры дают страницам доступ к мощным функциям: камере, микрофону, геолокации, платежам, USB, полноэкранному режиму. Permissions-Policy (ранее Feature-Policy) перечисляет, какими из них вообще могут пользоваться страница и фреймы внутри неё. Функцию, отключённую политикой, нельзя запросить — ни вашему коду, ни встроенной рекламе, ни скрипту, который удалось внедрить злоумышленнику.

Как SiteScan это оценивает

Любой заголовок Permissions-Policy или старый Feature-Policy засчитывается как «Сильный»: значение настолько зависит от того, что делает сайт, что универсально «правильного» списка для сравнения нет. Нет заголовка — «Отсутствует». Сайт без него не сломается, но всё встроенное в него сохраняет право спрашивать посетителя об этих функциях.

Как задать

Отключите всё, чем не пользуетесь:

Permissions-Policy: camera=(), microphone=(), geolocation=(), payment=(), usb=()

Пустые скобки означают «никому». Чтобы разрешить функцию только своим страницам, напишите geolocation=(self); чтобы разрешить одному встроенному партнёру — добавьте его origin: payment=(self "https://pay.example"). Если встроенная карта или видеоплеер перестали работать, выясните, какая функция им нужна, и разрешите только её. Заголовок входит в общую оценку безопасности.