Isolation des `iframe` et politique d’autorisations

Un contenu non fiable dans une iframe (widgets tiers, aperçus de HTML soumis par les utilisateurs, jeux intégrés) ne devrait pas disposer de toutes les capacités du navigateur. L’attribut sandbox limite ce que l’iframe peut faire, réduisant les dommages si elle s’avère malveillante.

<iframe sandbox src="..."> sans valeur applique toutes les restrictions : pas de scripts, pas de formulaires, pas de fenêtres contextuelles, pas de navigation de niveau supérieur, pas de plugins, et une origine unique. Utilisez cette configuration comme point de départ, puis ajoutez uniquement ce dont le contenu intégré a besoin.

Les jetons du bac à sable réactivent certaines capacités : sandbox="allow-scripts allow-same-origin" autorise l’exécution de scripts et l’accès à la même origine. Chaque jeton assouplit une restriction : combinez uniquement l’ensemble minimal réellement nécessaire à l’iframe.

allow-scripts active JS. allow-forms active l’envoi de formulaires. allow-popups active window.open. allow-same-origin évite de traiter l’iframe comme une origine unique (nécessaire pour localStorage). allow-top-navigation autorise la navigation de la fenêtre parente.

Combiner allow-scripts et allow-same-origin pour une iframe que vous hébergez également donne à l’iframe un accès complet à votre origine, y compris la possibilité de supprimer son propre bac à sable. Ne combinez ces options que pour du contenu fiable ; pour du contenu non fiable, omettez allow-same-origin.

La politique des permissions (anciennement politique des fonctionnalités) contrôle les API du navigateur (caméra, microphone, géolocalisation, plein écran, lecture automatique) que la page et ses iframes peuvent utiliser. Définissez-la sur la page parente : Permissions-Policy: geolocation=() bloque la géolocalisation partout.

L’attribut allow d’une iframe remplace la politique de la page parente pour cette iframe : <iframe allow="camera; microphone"> autorise ces API dans l’iframe, même si la politique par défaut de la page parente les refuse.

Les spécifications évoluent constamment : caméra, microphone, géolocalisation, accéléromètre, gyroscope, magnétomètre, paiements, USB, MIDI, plein écran, lecture automatique, affichage image dans l’image, et des dizaines d’autres. Examinez la liste et refusez explicitement tout ce dont votre page n’a pas besoin.

Permissions-Policy signale les violations à un point de terminaison configuré, comme report-uri pour CSP. Utilisez cette possibilité pendant une migration : activez une politique stricte, observez ce qui ne fonctionne plus, puis assouplissez-la progressivement pour les fonctionnalités légitimes.

Pour les pages sensibles, définissez Cross-Origin-Opener-Policy: same-origin et Cross-Origin-Embedder-Policy: require-corp. Cela isole la page des fenêtres d’autres origines, la protégeant contre les attaques temporelles de type Spectre et permettant d’utiliser SharedArrayBuffer.

Le bac à sable, Permissions Policy, CSP et COOP/COEP forment ensemble plusieurs couches de protection. Chacun protège contre une catégorie d’attaque différente. L’intégration de contenu tiers est suffisamment risquée pour qu’aucune mesure unique ne suffise : combinez-les afin qu’un contournement soit intercepté par une autre couche.

Utilisez le panneau Réseau et le panneau Problèmes de Chrome DevTools pour détecter les violations liées au bac à sable et aux permissions. De nombreuses violations sont silencieuses (l’API renvoie simplement undefined ou rejette la promesse) ; des points de terminaison de signalement explicites aident à les découvrir en production.

Pourquoi la combinaison sandbox="allow-scripts allow-same-origin" peut-elle être dangereuse pour une iframe hébergée sur votre propre origine ?

Appliquez par défaut un bac à sable aux iframes et ajoutez uniquement les jetons nécessaires au contenu. Évitez allow-scripts+allow-same-origin pour le contenu non fiable. Utilisez Permissions Policy pour refuser les API puissantes à l’échelle du site et l’attribut allow de l’iframe pour accorder des exceptions. Combinez cette approche avec CSP et COOP/COEP pour une défense en profondeur.