Sandbox de iframe e Política de Permissões

Conteúdo não confiável em um quadro incorporado (componentes de terceiros, pré-visualizações de HTML enviadas por usuários, jogos incorporados) não deve ter acesso a todos os recursos do navegador. O atributo de isolamento restringe o que o quadro pode fazer, reduzindo os danos caso ele se revele malicioso.

<iframe sandbox src="..."> sem valor aplica todas as restrições: sem scripts, sem formulários, sem janelas pop-up, sem navegação de nível superior, sem plug-ins e tratado como uma origem exclusiva. Use isso como ponto de partida e adicione apenas o que o conteúdo incorporado precisar.

Os tokens de isolamento reativam recursos específicos: sandbox="allow-scripts allow-same-origin" permite a execução de scripts e o acesso à mesma origem. Cada token flexibiliza uma restrição; combine o conjunto mínimo de que o quadro realmente precisa.

allow-scripts ativa JS. allow-forms ativa o envio de formulários. allow-popups ativa window.open. allow-same-origin evita tratar o quadro como uma origem exclusiva (necessário para localStorage). allow-top-navigation permite navegar pela janela principal.

Combinar allow-scripts com allow-same-origin em um quadro que você também hospeda dá a ele acesso completo à sua origem — inclusive a capacidade de remover o próprio isolamento. Combine-os apenas para conteúdo confiável; para conteúdo não confiável, omita allow-same-origin.

A Política de permissões (anteriormente Política de funcionalidades) controla quais interfaces de programação do navegador (câmera, microfone, geolocalização, tela cheia e reprodução automática) a página e seus quadros podem usar. Defina-a na página principal: Permissions-Policy: geolocation=() bloqueia a geolocalização em todos os lugares.

O atributo allow em um quadro substitui a política da página principal para esse quadro: <iframe allow="camera; microphone"> permite essas interfaces no quadro, mesmo que a política padrão da página principal as negue.

As especificações formam uma lista em evolução — câmera, microfone, geolocalização, acelerômetro, giroscópio, magnetômetro, pagamentos, USB, MIDI, tela cheia, reprodução automática, imagem sobre imagem e dezenas de outras. Audite a lista e negue explicitamente tudo de que sua página não precisa.

A Política de permissões relata violações a um ponto de acesso configurado, como o ponto de acesso de relatórios da CSP. Use isso durante uma migração: ative uma política rígida, observe o que deixa de funcionar e depois flexibilize-a de maneira controlada para os recursos legítimos.

Para páginas sensíveis, defina Cross-Origin-Opener-Policy: same-origin e Cross-Origin-Embedder-Policy: require-corp. Isso isola a página de janelas de outras origens, protegendo contra ataques de temporização no estilo Spectre e habilitando SharedArrayBuffer.

Isolamento + Política de permissões + CSP + COOP/COEP atuam em camadas. Cada um protege contra uma categoria diferente de ataque. Incorporar conteúdo de terceiros é arriscado o suficiente para que nenhuma medida isolada seja suficiente — combine-as para que um contorno de uma delas seja impedido por outra.

Use o painel Rede e o painel Problemas no Chrome DevTools para revelar violações de isolamento e permissões. Muitas violações são silenciosas (a interface simplesmente retorna um valor indefinido ou rejeita a promessa); pontos de acesso explícitos de relatórios ajudam a descobri-las em produção.

Por que a combinação sandbox="allow-scripts allow-same-origin" é potencialmente perigosa para um quadro hospedado na sua própria origem?

Aplique isolamento aos quadros por padrão e adicione apenas os tokens de que o conteúdo precisa. Evite allow-scripts+allow-same-origin para conteúdo não confiável. Use a Política de permissões para negar interfaces poderosas em todo o site e o atributo allow do quadro para conceder exceções. Combine isso com CSP e COOP/COEP para obter defesa em profundidade.