HTTP Permissions-Policy

Die Permissions-Policy ist wichtig, um die Privatsphäre zu schützen

Permissions Policy, früher bekannt als Feature Policy, ermöglicht es dem Entwickler, die für eine Seite, ihre Iframes und Unterressourcen verfügbaren Browserfunktionen zu steuern, indem er eine Reihe von Richtlinien deklariert, die der Browser durchsetzen soll.

Der Permissions Policy Header ist eine zusätzliche Sicherheitsebene, die dazu beiträgt, den unbefugten Zugriff oder die unbefugte Nutzung von Browser-/Clientfunktionen durch Webressourcen einzuschränken. Er gewährleistet die Privatsphäre des Benutzers, indem er einschränkt oder angibt, welche Funktionen des Browsers von Webressourcen verwendet werden können. Durch Festlegen des Permissions-Policy-Headers können Websitebesitzer den Zugriff auf Funktionen wie Kamera, Mikrofon, Standort und Vollbild steuern.

Permissions Policy ermöglicht es der Site auf oberster Ebene, zu definieren, was sie und ihre Drittanbieter verwenden möchten, und entlastet den Benutzer von der Aufgabe, festzustellen, ob die Anforderung des Funktionszugriffs legitim ist oder nicht. Wenn der Entwickler beispielsweise die Geolokalisierungsfunktion für alle Drittanbieter über Permissions Policy blockiert, kann er sicher sein, dass kein Drittanbieter Zugriff auf die Geolokalisierung des Benutzers erhält.

Der Benutzer hat die endgültige Entscheidung, ob er den Zugriff auf leistungsstärkere Funktionen zulässt, und muss über eine Eingabeaufforderung eine explizite Erlaubnis erteilen.

Risiken bei Nicht-Anwendung

Wenn der Permissions Policy Header nicht festgelegt ist, haben Webressourcen möglicherweise uneingeschränkten Zugriff auf vertrauliche Browserfunktionen.

Dies kann zu potenziellen Datenschutzverletzungen, unbefugter Datenerfassung oder Missbrauch von Benutzerressourcen führen. Angreifer könnten diese Funktionen ausnutzen, um vertrauliche Informationen zu erfassen, Audio-/Videodateien ohne Zustimmung aufzuzeichnen, Benutzerstandorte zu verfolgen oder den Browser ohne Benutzerinteraktion in den Vollbildmodus zu zwingen.

Es ist wichtig, den Permissions Policy Header festzulegen, um diese Risiken zu mindern und die Privatsphäre der Benutzer zu schützen.

Beispiele zur Anwendung der Permissions Policy

Hier sind einige Beispiele für Features, die mit dem Permissions-Policy-Header gesteuert werden können:

Geolocation

Ermöglicht den Zugriff auf die Geolokalisierungsfunktionen, um den Standort des Benutzers zu bestimmen.
Permission-Policy: geolocation=(self)

Kamera und Mikrofon

Steuert den Zugriff auf die Kamera und das Mikrofon für Video- und Audioaufnahmen.
Permission-Policy: camera=(self); microphone=(none)

Fullscreen

Steuert, ob die Webseite den Vollbildmodus aktivieren kann.
Permission-Policy: fullscreen=(self)

Autoplay für Videos und Audiodateien

Erlaubt oder blockiert das automatische Abspielen von Multimedia-Inhalten.
Permission-Policy: autoplay=(none)

Payment Request API

Kontrolliert die Verwendung der Zahlungsfunktionalität für Online-Zahlungen.
Permission-Policy: payment=(self)

Eingabeaufforderungen (Prompts)

Ermöglicht das Anzeigen von Benutzerdialogen wie „Bestätigen Sie die Standortfreigabe“ oder „Erlauben Sie Benachrichtigungen“.
Permission-Policy: sync-xhr=(self)