Sandbox de iframe y Permissions Policy

El contenido no confiable de un iframe (widgets de terceros, vistas previas de HTML enviado por usuarios, juegos incrustados) no debería tener todas las capacidades del navegador. El atributo sandbox restringe lo que puede hacer el iframe y reduce el daño si resulta ser malicioso.

<iframe sandbox src="..."> sin valor aplica todas las restricciones: no permite scripts, formularios, ventanas emergentes ni navegación de nivel superior, no permite plugins y trata el contenido como un origen único. Use esto como punto de partida y añada únicamente lo que necesite el contenido incrustado.

Los tokens de sandbox vuelven a habilitar capacidades específicas: sandbox="allow-scripts allow-same-origin" permite ejecutar scripts y acceder al mismo origen. Cada token relaja una restricción; combine el conjunto mínimo que realmente necesite el iframe.

allow-scripts habilita JavaScript. allow-forms habilita el envío de formularios. allow-popups habilita window.open. allow-same-origin evita tratar el iframe como un origen único (necesario para localStorage). allow-top-navigation permite navegar por la ventana principal.

Combinar allow-scripts con allow-same-origin en un iframe que usted también aloja le proporciona al iframe acceso completo a su origen, incluida la capacidad de eliminar su propio sandbox. Combine ambos únicamente con contenido confiable; para contenido no confiable, omita allow-same-origin.

Permissions Policy (antes Feature Policy) controla qué API del navegador (cámara, micrófono, geolocalización, pantalla completa, reproducción automática) pueden usar la página y sus iframes. Establézcala en el documento padre: Permissions-Policy: geolocation=() bloquea la geolocalización en todas partes.

El atributo allow de un iframe invalida la política del padre para ese iframe: <iframe allow="camera; microphone"> permite usar esas API en el iframe aunque la política predeterminada del padre las deniegue.

Las especificaciones evolucionan constantemente: cámara, micrófono, geolocalización, acelerómetro, giroscopio, magnetómetro, pagos, USB, MIDI, pantalla completa, reproducción automática, imagen en imagen y docenas más. Revise la lista y deniegue explícitamente todo lo que su página no necesite.

Permissions-Policy informa de las infracciones a un endpoint configurado, como report-uri de CSP. Use esta función durante una migración: habilite una política estricta, observe qué deja de funcionar y, después, relájela de forma gradual para las funciones legítimas.

Para páginas sensibles, establezca Cross-Origin-Opener-Policy: same-origin y Cross-Origin-Embedder-Policy: require-corp. Esto aísla la página de las ventanas de otros orígenes, protege contra ataques de temporización al estilo de Spectre y habilita SharedArrayBuffer.

Sandbox + Permissions Policy + CSP + COOP/COEP funcionan conjuntamente como capas. Cada uno protege contra una clase de ataque diferente. Incrustar contenido de terceros es lo bastante arriesgado como para que ninguna mitigación individual sea suficiente; combínelas para que otra detecte cualquier elusión de una de ellas.

Use los paneles Red y Problemas de Chrome DevTools para detectar infracciones de sandbox y de permisos. Muchas infracciones son silenciosas (la API simplemente devuelve undefined o rechaza la promesa); los endpoints de informes explícitos ayudan a descubrirlas en producción.

¿Por qué la combinación sandbox="allow-scripts allow-same-origin" puede ser peligrosa para un iframe alojado en su propio origen?

Use sandbox en los iframes de forma predeterminada y añada únicamente los tokens que necesite el contenido. Evite allow-scripts+allow-same-origin con contenido no confiable. Use Permissions Policy para denegar API potentes en todo el sitio y el atributo allow del iframe para conceder excepciones. Combine estas medidas con CSP y COOP/COEP para obtener una defensa en profundidad.