Was die Permissions-Policy macht

So funktioniert es

Browser bieten Websites Zugriff auf Funktionen des Geräts: Kamera, Mikrofon, Standort, Zahlungen, Vollbild und mehr. Bei den heiklen fragt der Browser den Besucher um Erlaubnis. Diese Anfrage kann aber auch von eingebetteten Inhalten kommen, etwa von einem Werbebanner oder einem Widget, das in einem iframe läuft. Wird ein solcher Dienst kompromittiert, kann er versuchen, die Funktionen im Namen deiner Seite zu nutzen.

Mit dem Header Permissions-Policy sagst du dem Browser, welche Funktionen auf deiner Seite überhaupt infrage kommen und für wen. Was ausgeschaltet ist, kann weder deine Seite noch ein eingebetteter Inhalt anfragen; der Browser fragt den Besucher gar nicht erst.

Die Schreibweise ist funktion=(erlaubt):

• camera=() schaltet die Kamera für alle ab.
• geolocation=(self) erlaubt den Standort nur deiner eigenen Seite.
• geolocation=(self "https://karten.example") erlaubt ihn zusätzlich einem eingebetteten Dienst.

Worauf es ankommt

• Abschalten, was du nicht brauchst. Kamera, Mikrofon und Standort sind die wichtigsten; die meisten Websites nutzen keins davon.
• Eingebettete Dienste mitdenken. Nutzt ein eingebetteter Dienst eine Funktion, braucht er sie in der Policy und im allow-Attribut seines iframe, etwa ein Videochat das Mikrofon.
• Die neue Schreibweise. Der Vorgänger Feature-Policy mit Werten wie camera 'none' wird von aktuellen Browsern nicht mehr ausgewertet. Übertrage die Regeln in Permissions-Policy.

So richtest du es ein

Ein Startwert, der Kamera, Mikrofon und Standort abschaltet:

Permissions-Policy: camera=(), microphone=(), geolocation=()

Ergänze weitere Funktionen, die deine Seite nicht braucht, zum Beispiel payment=() oder usb=(). Gesetzt wird der Header im Webserver, in der Anwendung oder über eine Header-Regel beim Hoster oder CDN, von dir oder deiner Agentur.

add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;

Header always set Permissions-Policy "camera=(), microphone=(), geolocation=()"

Prüfe danach Seiten mit Karten, Videochats oder Bezahlformularen, ob sie noch funktionieren.