Sandbox degli iframe e Permissions Policy

I contenuti non attendibili in un iframe, come widget di terze parti, anteprime di HTML inviato dagli utenti e giochi incorporati, non dovrebbero disporre di tutte le funzionalità del browser. L'attributo sandbox limita ciò che l'iframe può fare, riducendo i danni nel caso si rivelasse dannoso.

<iframe sandbox src="..."> senza alcun valore applica tutte le restrizioni: niente script, moduli, popup, navigazione di primo livello o plugin; l'iframe viene trattato come un'origine unica. Lo usi come punto di partenza e aggiunga solo ciò di cui il contenuto incorporato ha bisogno.

I token di sandbox riattivano funzionalità specifiche: sandbox="allow-scripts allow-same-origin" consente l'esecuzione di script e l'accesso alla stessa origine. Ogni token allenta una restrizione; combini il set minimo effettivamente necessario all'iframe.

allow-scripts abilita JS. allow-forms abilita l'invio dei moduli. allow-popups abilita window.open. allow-same-origin evita di trattare l'iframe come un'origine unica, cosa necessaria per localStorage. allow-top-navigation consente di navigare nella finestra principale.

Combinare allow-scripts con allow-same-origin per un iframe ospitato sulla stessa origine concede all'iframe accesso completo alla propria origine, inclusa la possibilità di rimuovere la propria sandbox. Li combini solo per contenuti attendibili; per quelli non attendibili, ometta allow-same-origin.

Permissions Policy, precedentemente chiamata Feature Policy, controlla quali API del browser, come fotocamera, microfono, geolocalizzazione, schermo intero e riproduzione automatica, possono essere utilizzate dalla pagina e dai suoi iframe. La imposti nel documento principale: Permissions-Policy: geolocation=() blocca la geolocalizzazione ovunque.

L'attributo allow di un iframe sovrascrive la policy del documento principale per quell'iframe: <iframe allow="camera; microphone"> consente l'uso di queste API nell'iframe anche quando la policy predefinita del documento principale nega tale accesso.

Le specifiche includono un elenco in continua evoluzione: fotocamera, microfono, geolocalizzazione, accelerometro, giroscopio, magnetometro, pagamenti, usb, midi, schermo intero, riproduzione automatica, picture-in-picture e decine di altre funzionalità. Verifichi l'elenco e neghi esplicitamente tutto ciò di cui la pagina non ha bisogno.

Permissions-Policy segnala le violazioni a un endpoint configurato, come report-uri di CSP. Usi questa funzionalità durante una migrazione: abiliti una policy rigorosa, osservi cosa si interrompe, quindi la allenti gradualmente per le funzionalità legittime.

Per le pagine sensibili, imposti Cross-Origin-Opener-Policy: same-origin e Cross-Origin-Embedder-Policy: require-corp. In questo modo la pagina viene isolata dalle finestre cross-origin, proteggendola dagli attacchi temporali in stile Spectre e abilitando SharedArrayBuffer.

Sandbox + Permissions Policy + CSP + COOP/COEP agiscono insieme. Ciascuno protegge da una diversa classe di attacchi. Incorporare contenuti di terze parti è abbastanza rischioso da rendere insufficiente qualsiasi singola mitigazione: le combini affinché un'elusione di una venga rilevata da un'altra.

Usi i pannelli Network e Issues di Chrome DevTools per individuare le violazioni di sandbox e dei permessi. Molte violazioni sono silenziose: l'API restituisce semplicemente undefined o rifiuta la promise. Endpoint di segnalazione espliciti aiutano a scoprirle in produzione.

Perché la combinazione sandbox="allow-scripts allow-same-origin" può essere pericolosa per un iframe ospitato sulla propria origine?

Applichi sandbox agli iframe per impostazione predefinita e aggiunga solo i token necessari al contenuto. Eviti allow-scripts+allow-same-origin per i contenuti non attendibili. Usi Permissions Policy per negare le API potenti a livello di sito e l'attributo allow dell'iframe per concedere eccezioni. Combini il tutto con CSP e COOP/COEP per una difesa in profondità.