Cross-Origin-Embedder-Policy (COEP)

Wat doet hij?

Met require-corp of credentialless laadt de browser alleen nog cross-origin resources (afbeeldingen, scripts, iframes) die zelf aangeven dat ze ingesloten mogen worden — via CORP of een geschikte CORS-header. Resources die dat niet doen, worden geblokkeerd.

Waarom telt hij mee?

COEP is samen met COOP nodig voor volledige cross-origin isolatie, een voorwaarde voor krachtige browser-API's zoals SharedArrayBuffer met hoge-resolutie timers. Voor de meeste sites is het geen dealbreaker, maar wel de laatste stap richting volledige isolatie.

Aanbevolen waarde

Veelgemaakte fout

require-corp inschakelen zonder te controleren of ingesloten derde-partij-widgets (chat-widgets, embeds, advertenties) de vereiste CORP/CORS-headers meesturen — die breken dan stilletjes.

Configuratievoorbeelden

Kant-en-klare snippet om Cross-Origin-Embedder-Policy in te stellen, per platform.

add_header Cross-Origin-Embedder-Policy "require-corp" always;