iframe-Sandboxing und Permissions Policy

Nicht vertrauenswürdige Inhalte in einem iframe (Widgets von Drittanbietern, HTML-Vorschauen aus Benutzereingaben, eingebettete Spiele) sollten nicht über die vollständigen Browserfunktionen verfügen. Das Attribut sandbox schränkt ein, was das iframe tun kann, und verringert den Schaden, falls sich der Inhalt als bösartig herausstellt.

<iframe sandbox src="..."> ohne Wert wendet alle Einschränkungen an: keine Skripte, keine Formulare, keine Pop-ups, keine Navigation auf oberster Ebene, keine Plugins und Behandlung als eindeutiger Origin. Verwenden Sie dies als Ausgangspunkt und fügen Sie nur hinzu, was der eingebettete Inhalt benötigt.

Sandbox-Tokens aktivieren gezielt einzelne Funktionen wieder: sandbox="allow-scripts allow-same-origin" erlaubt die Ausführung von Skripten und den Zugriff auf denselben Origin. Jeder Token lockert eine Einschränkung; kombinieren Sie nur die minimale Menge, die das iframe tatsächlich benötigt.

allow-scripts aktiviert JavaScript. allow-forms aktiviert das Absenden von Formularen. allow-popups aktiviert window.open. allow-same-origin verhindert, dass das iframe als eindeutiger Origin behandelt wird (erforderlich für localStorage). allow-top-navigation erlaubt die Navigation des übergeordneten Fensters.

Wenn Sie allow-scripts mit allow-same-origin für ein iframe kombinieren, das Sie ebenfalls selbst hosten, erhält das iframe vollständigen Zugriff auf Ihren Origin — einschließlich der Möglichkeit, die eigene Sandbox zu entfernen. Kombinieren Sie diese Tokens nur für vertrauenswürdige Inhalte; lassen Sie bei nicht vertrauenswürdigen Inhalten allow-same-origin weg.

Permissions Policy (früher Feature Policy) steuert, welche Browser-APIs (Kamera, Mikrofon, Geolocation, Vollbild, automatische Wiedergabe) die Seite und ihre iframes verwenden dürfen. Legen Sie sie im übergeordneten Dokument fest: Permissions-Policy: geolocation=() blockiert Geolocation überall.

Das Attribut allow eines iframes überschreibt die Richtlinie des übergeordneten Dokuments für dieses iframe: <iframe allow="camera; microphone"> erlaubt diese APIs im iframe, selbst wenn die Standardrichtlinie des übergeordneten Dokuments sie verweigert.

Die Liste in den Spezifikationen entwickelt sich ständig weiter — Kamera, Mikrofon, Geolocation, Accelerometer, Gyroskop, Magnetometer, Payment, USB, MIDI, Vollbild, automatische Wiedergabe, Picture-in-Picture und Dutzende weitere. Prüfen Sie die Liste und verweigern Sie ausdrücklich alles, was Ihre Seite nicht benötigt.

Permissions-Policy meldet Verstöße an einen konfigurierten Endpunkt, ähnlich wie report-uri bei CSP. Verwenden Sie dies während einer Migration: Aktivieren Sie eine strenge Richtlinie, beobachten Sie, was dadurch beeinträchtigt wird, und lockern Sie sie anschließend schrittweise für tatsächlich benötigte Funktionen.

Setzen Sie für sensible Seiten Cross-Origin-Opener-Policy: same-origin und Cross-Origin-Embedder-Policy: require-corp. Dadurch wird die Seite von Cross-Origin-Fenstern isoliert, was vor Timing-Angriffen im Stil von Spectre schützt und SharedArrayBuffer aktiviert.

Sandbox, Permissions Policy, CSP und COOP/COEP wirken zusammen. Jede Maßnahme schützt vor einer anderen Angriffsklasse. Das Einbetten von Inhalten Dritter ist so riskant, dass keine einzelne Schutzmaßnahme ausreicht — kombinieren Sie sie, damit ein Umgehen der einen Maßnahme von einer anderen erkannt wird.

Verwenden Sie das Network-Panel und das Issues-Panel in Chrome DevTools, um Sandbox- und Berechtigungsverstöße sichtbar zu machen. Viele Verstöße bleiben unbemerkt (die API gibt einfach undefined zurück oder lehnt das Promise ab); explizite Meldeendpunkte helfen dabei, sie in der Produktion zu entdecken.

Verwenden Sie Sandboxes für iframes standardmäßig und fügen Sie nur die Tokens hinzu, die der Inhalt benötigt. Vermeiden Sie allow-scripts+allow-same-origin für nicht vertrauenswürdige Inhalte. Verwenden Sie Permissions Policy, um leistungsfähige APIs für die gesamte Website zu verweigern, und das allow-Attribut des iframes, um Ausnahmen zu gewähren. Kombinieren Sie dies mit CSP und COOP/COEP für eine mehrschichtige Verteidigung.