Permissions-Policy

Wat doet hij?

Permissions-Policy (voorheen Feature-Policy) bepaalt welke krachtige browser-API's de pagina — en eventuele ingesloten iframes — mogen aanroepen. Features die niet genoemd worden als toegestaan, zijn standaard uitgeschakeld voor de opgegeven origins.

Waarom telt hij mee?

Als een pagina via een kwetsbaarheid of een gecompromitteerde advertentie-iframe toch kwaadaardige code laat draaien, voorkomt deze header dat die code alsnog de camera, microfoon of locatie van de bezoeker kan aanspreken.

Aanbevolen waarde

Veelgemaakte fout

Denken dat dit alleen relevant is voor sites die zelf camera/microfoon gebruiken. Ook sites die deze features nooit gebruiken, zijn gebaat bij expliciet uitschakelen — het sluit een aanvalsvector die anders openstaat.

Configuratievoorbeelden

Kant-en-klare snippet om Permissions-Policy in te stellen, per platform.

add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;