Песочница iframe и политика разрешений

Непроверенное содержимое во встроенном фрейме (сторонние виджеты, предварительный просмотр HTML, отправленного пользователем, встроенные игры) не должно обладать всеми возможностями браузера. Атрибут sandbox ограничивает действия фрейма и уменьшает ущерб, если содержимое окажется вредоносным.

<iframe sandbox src="..."> без значения применяет все ограничения: запрещает скрипты, формы, всплывающие окна, переходы верхнего уровня и плагины, а также рассматривает фрейм как имеющий уникальный источник. Используйте это как отправную точку и добавляйте только те возможности, которые нужны встроенному содержимому.

Токены песочницы повторно включают отдельные возможности: sandbox="allow-scripts allow-same-origin" разрешает выполнение скриптов и доступ к тому же источнику. Каждый токен ослабляет одно ограничение; сочетайте минимальный набор, действительно необходимый фрейму.

allow-scripts включает JS. allow-forms разрешает отправку формы. allow-popups включает window.open. allow-same-origin не даёт считать фрейм имеющим уникальный источник (это необходимо для localStorage). allow-top-navigation разрешает переходы в родительском окне.

Сочетание allow-scripts и allow-same-origin для фрейма, который размещён на вашем источнике, предоставляет ему полный доступ к этому источнику — включая возможность удалить собственную песочницу. Сочетайте их только для проверенного содержимого; для непроверенного не предоставляйте доступ к тому же источнику.

Политика разрешений (ранее называвшаяся политикой возможностей) управляет тем, какие возможности браузера (камера, микрофон, геолокация, полноэкранный режим, автовоспроизведение) могут использовать страница и её фреймы. Задайте её для родительской страницы: Permissions-Policy: geolocation=() заблокирует геолокацию повсюду.

Атрибут allow у фрейма переопределяет политику родительской страницы для этого фрейма: <iframe allow="camera; microphone"> разрешает ему использовать эти возможности, даже если политика по умолчанию на родительской странице их запрещает.

Спецификации постоянно развиваются и включают камеру, микрофон, геолокацию, акселерометр, гироскоп, магнитометр, платежи, USB, MIDI, полноэкранный режим, автовоспроизведение, режим «картинка в картинке» и ещё десятки возможностей. Проверьте этот список и явно запретите всё, что не нужно вашей странице.

Политика разрешений отправляет сообщения о нарушениях на настроенный адрес, подобно адресу отчётов CSP. Используйте это во время перехода: включите строгую политику, следите за тем, что перестало работать, а затем постепенно ослабляйте её для действительно необходимых функций.

Для страниц с важными данными задайте Cross-Origin-Opener-Policy: same-origin и Cross-Origin-Embedder-Policy: require-corp. Это изолирует страницу от окон других источников, защищая от атак на основе измерения времени, и позволяет использовать SharedArrayBuffer.

Песочница + политика разрешений + CSP + COOP/COEP работают совместно. Каждая мера защищает от своего класса атак. Встраивание стороннего содержимого достаточно рискованно, поэтому одной меры недостаточно — сочетайте их, чтобы обход одной меры был остановлен другой.

Используйте панели «Сеть» и «Проблемы» в DevTools, чтобы обнаруживать нарушения ограничений песочницы и разрешений. Многие нарушения происходят незаметно: возможность просто возвращает неопределённое значение или отклоняет обещание. Явно настроенные адреса для отчётов помогают обнаруживать такие случаи в рабочей среде.

Почему сочетание разрешений на выполнение скриптов и доступа к тому же источнику потенциально опасно для фрейма, размещённого на вашем источнике?

По умолчанию помещайте фреймы в песочницу и добавляйте только нужные содержимому разрешения. Не используйте сочетание разрешений на скрипты и доступ к тому же источнику для непроверенного содержимого. Применяйте политику разрешений, чтобы запретить мощные возможности на всём сайте, а атрибут разрешений фрейма — чтобы выдавать исключения. Для многоуровневой защиты сочетайте это с CSP и COOP/COEP.