Aprenda a permitir ou negar o uso de um recurso do Sandbox de privacidade na página.
Visão geral da política de permissões
A política de permissões é um mecanismo de plataforma da Web que permite que uma página controle o acesso aos recursos dela. Com a Política de permissões, uma página pode permitir ou negar um recurso à própria página de nível superior e a iframes de origem cruzada incorporados.
Ao responder à solicitação do navegador, o cabeçalho de resposta da página pode definir as políticas a serem aplicadas na página. Além disso, a tag de iframe define o atributo allow
quando necessário para ativar o recurso no iframe (se o pai também tiver permissão). As permissões são delegadas do principal para o secundário, e o secundário de um iframe receberá as permissões do frame principal.
A política de permissões funciona em conjunto com o cabeçalho de resposta e o atributo allow
em iframes. O recurso só é permitido se é permitido pelo cabeçalho da resposta e pelo atributo allow
. Quando um cabeçalho da política de permissões não é fornecido, o padrão de cada política de cabeçalho de recurso é *
. Quando o atributo allow
de um iframe não é definido, o padrão é o valor padrão da lista de permissões.
Se a lista de permissões padrão for *
, o recurso vai estar disponível para a página de nível superior e para todos os iframes de origem cruzada na página por padrão. Ele é equivalente a <iframe src="some-url" allow="feature *"/>
, e o atributo allow
não precisa ser definido no iframe.
Se o valor for self
, o recurso estará disponível apenas para a página de nível superior (e iframes de mesma origem) e não estará disponível para os iframes de origem cruzada sem a delegação explícita da página. É equivalente a <iframe src="some-url" allow="feature 'self'"/>
, em que self
é a origem do incorporador. Portanto, a tag allow
precisa ser definida para ativar o recurso em um iframe de origem cruzada.
Para saber mais sobre a política de permissões, consulte o seguinte conteúdo:
- Visão geral para desenvolvedores sobre Como controlar recursos do navegador com a política de permissões: Chrome para desenvolvedores
- Documentação de referência do desenvolvedor sobre a política de permissões
- Rascunho de trabalho hospedado pelo W3C para a Política de permissões
Política de permissões para recursos do Sandbox de privacidade
A tabela a seguir lista as APIs do Sandbox de privacidade controladas pela política de permissões:
API | Diretiva | Descrição | Lista de permissões padrão |
---|---|---|---|
Relatórios de atribuição
(Guia / Especificações) |
attribution-reporting |
Permite o uso da API Attribution Reporting | * |
Gerenciador de credenciais federadas
(Guia / Especificações) |
identity-credentials-get |
Permite acessar um objeto de credencial | self |
Agregação particular | private-aggregation |
Permite gerar relatórios usando a agregação particular | * |
Protected Audience
(Guia / Especificações) |
join-ad-interest-group |
Permite adicionar o usuário a um grupo de interesse do site |
* durante o teste
self no futuro
|
run-ad-auction |
Permite realizar um leilão de anúncios | * |
|
Armazenamento compartilhado | shared-storage |
Permite ler e gravar com o armazenamento compartilhado | * |
shared-storage-select-url |
Permite que a operação de Seleção de URL seja executada | * |
|
Acesso ao armazenamento
(Guia / Especificações) |
storage-access |
Permite acesso à API Storage Access | * |
requestStorageAccessFor
(Guia / Especificações) |
top-level-storage-access |
Permite acesso ao acesso de nível superior, via requestStorageAccessFor() , para sites agrupados em um conjunto de sites relacionados |
* |
Tópicos
(Guia / Especificações) |
browsing-topics |
Permite gerar temas para o usuário e ler os temas gerados | * |
Dicas de cliente HTTP do user agent
(Guia / Especificações) |
Consulte o guia para ver a lista completa de cabeçalhos. | Permite que a dica do cliente especificada esteja disponível para o solicitante | Consulte as especificações para ver a lista completa de valores padrão da lista de permissões. |
Ao contrário dos cookies de terceiros, em que o proprietário da página não tem controle granular sobre como os cookies são usados por iframes de terceiros, uma página pode permitir ou negar que as APIs do Sandbox de privacidade sejam usadas pela própria página e por terceiros usando a Política de permissões. Por exemplo, o proprietário de uma página, como um editor, pode usar a política de permissões para permitir que terceiros especificados realizem um leilão de anúncios ou impedir que terceiros leiam os tópicos do usuário.
Muitos recursos do Sandbox de privacidade usam o valor padrão da lista de permissões de *
, que permite que todos os iframes entre sites usem o recurso, a menos que seja restrito pela Política de permissões. O proprietário da página pode substituir a política padrão e usar a própria política, permitindo que apenas origens especificadas na página usem o recurso. O comportamento padrão do cookie é ser permitido em todos os frames, exceto iframes em sandbox, mas não é coberto pela política de permissões e o uso dele não pode ser controlado pelo incorporador. *
.
Alguns recursos do Sandbox de privacidade usam o valor padrão da lista de permissões de self
, que nega que os iframes de origem cruzada usem o recurso sem declaração explícita. O proprietário da página precisa usar o atributo allow
ao criar iframes de origem cruzada para permitir o acesso ao recurso. Futuramente, o valor padrão da lista de permissões de algumas APIs do Sandbox de privacidade, como a diretiva join-ad-interest-group
para a API Protected Audience, vai mudar para self
. Mais APIs podem mudar a lista de permissões padrão para self
no futuro.