Cross-Origin-Opener-Policy (COOP)

Wat doet hij?

Met same-origin plaatst de browser de pagina in een eigen browsing context group, gescheiden van eventuele vensters die via window.open() vanaf een ander domein zijn geopend. Die vensters kunnen dan niet meer bij elkaar's JavaScript-objecten.

Waarom telt hij mee?

Zonder COOP kan een kwaadwillende site die deze pagina in een nieuw venster opent, onder bepaalde omstandigheden gegevens aflezen via timing- of Spectre-achtige side-channel-aanvallen. COOP is ook een vereiste bouwsteen voor cross-origin isolatie (samen met COEP).

Aanbevolen waarde

Veelgemaakte fout

same-origin instellen zonder te testen of OAuth-popups of betaalproviders die in een nieuw venster openen, nog wel correct blijven communiceren met de hoofdpagina.

Configuratievoorbeelden

Kant-en-klare snippet om Cross-Origin-Opener-Policy in te stellen, per platform.

add_header Cross-Origin-Opener-Policy "same-origin" always;