Sandbox iframe dan Permissions Policy

Konten yang tidak tepercaya dalam iframe (widget pihak ketiga, pratinjau HTML yang dikirim pengguna, dan gim tertanam) tidak seharusnya memiliki kemampuan peramban penuh. Atribut sandbox membatasi tindakan iframe, sehingga mengurangi kerusakan jika konten tersebut ternyata berbahaya.

<iframe sandbox src="..."> tanpa nilai menerapkan semua pembatasan: tanpa skrip, tanpa formulir, tanpa pop-up, tanpa navigasi tingkat atas, tanpa plugin, dan diperlakukan sebagai origin unik. Gunakan ini sebagai titik awal, lalu tambahkan hanya hal yang diperlukan konten tertanam.

Token sandbox mengaktifkan kembali kemampuan tertentu: sandbox="allow-scripts allow-same-origin" mengizinkan eksekusi skrip dan akses same-origin. Setiap token melonggarkan satu pembatasan; gabungkan set minimum yang benar-benar diperlukan iframe.

allow-scripts mengaktifkan JS. allow-forms mengaktifkan pengiriman formulir. allow-popups mengaktifkan window.open. allow-same-origin mencegah iframe diperlakukan sebagai origin unik (diperlukan untuk localStorage). allow-top-navigation mengizinkan navigasi jendela induk.

Menggabungkan allow-scripts dengan allow-same-origin untuk iframe yang juga Anda host memberikan iframe akses penuh ke origin Anda — termasuk kemampuan untuk menghapus sandbox-nya sendiri. Gabungkan keduanya hanya untuk konten tepercaya; untuk konten yang tidak tepercaya, hilangkan allow-same-origin.

Kebijakan Izin (sebelumnya disebut Kebijakan Fitur) mengontrol API peramban mana (kamera, mikrofon, geolokasi, layar penuh, putar otomatis) yang dapat digunakan halaman dan iframe-nya. Tetapkan pada induk: Permissions-Policy: geolocation=() memblokir geolokasi di mana saja.

Atribut allow pada iframe menimpa kebijakan induk untuk iframe tersebut: <iframe allow="camera; microphone"> mengizinkan API tersebut di dalam iframe meskipun kebijakan bawaan induk menolaknya.

Spesifikasi terus berkembang dan mencakup kamera, mikrofon, geolokasi, akselerometer, giroskop, magnetometer, pembayaran, usb, midi, layar penuh, putar otomatis, gambar-dalam-gambar, serta puluhan lainnya. Audit daftar tersebut dan tolak secara eksplisit apa pun yang tidak diperlukan halaman Anda.

Permissions-Policy melaporkan pelanggaran ke titik akhir yang dikonfigurasi, seperti report-uri milik CSP. Gunakan ini selama migrasi: aktifkan kebijakan ketat, amati hal-hal yang rusak, lalu longgarkan secara terukur untuk fitur yang sah.

Untuk halaman sensitif, tetapkan Cross-Origin-Opener-Policy: same-origin dan Cross-Origin-Embedder-Policy: require-corp. Ini mengisolasi halaman dari jendela lintas-origin, melindunginya dari serangan pengaturan waktu bergaya Spectre dan mengaktifkan SharedArrayBuffer.

Sandbox + Permissions Policy + CSP + COOP/COEP bekerja sebagai lapisan bersama. Masing-masing melindungi dari kelas serangan yang berbeda. Penyematan konten pihak ketiga cukup berisiko sehingga tidak ada satu mitigasi yang memadai — gabungkan semuanya agar celah pada satu lapisan dapat ditangani oleh lapisan lainnya.

Gunakan panel Network dan panel Issues di Chrome DevTools untuk menemukan pelanggaran sandbox dan izin. Banyak pelanggaran tidak terlihat (API hanya mengembalikan undefined atau menolak promise); titik akhir pelaporan eksplisit membantu menemukannya di lingkungan produksi.

Terapkan sandbox pada iframe secara bawaan dan tambahkan hanya token yang diperlukan konten. Hindari allow-scripts+allow-same-origin untuk konten yang tidak tepercaya. Gunakan Permissions Policy untuk menolak API berkuasa di seluruh situs dan atribut allow pada iframe untuk memberikan pengecualian. Gabungkan dengan CSP dan COOP/COEP untuk pertahanan berlapis.