iframe Sandbox
Das iframe-sandbox-Attribut legt eingebetteten Inhalten Beschränkungen auf (keine Skripte, Formulare, Popups, Same-Origin) und isoliert nicht vertrauenswürdige Einbettungen.
Zweck
Drittanbieter-Inhalte (Werbung, nicht vertrauenswürdige Seiten) sicher einbetten, indem ihre Fähigkeiten beschränkt werden, um Angriffe über bösartige Einbettungen zu verhindern.
Mechanismus
<iframe sandbox="allow-scripts">: Standardmäßig gelten alle Beschränkungen; optional lockert man sie mit allow-scripts/allow-same-origin/allow-forms/allow-popups usw. Ohne allow-same-origin gilt der eingebettete Inhalt als anderer Origin.
Anwendungsfälle
- Sichere Drittanbieter-Einbettung
- Werbeisolation
- iframe-Sicherheit