iframe Sandbox
L'attribut sandbox d'iframe impose des restrictions au contenu intégré (pas de scripts, formulaires, popups, same-origin), isolant les intégrations non fiables.
Objectif
Intégrer en sécurité du contenu tiers (publicités, pages non fiables) en restreignant ses capacités, prévenant les attaques par intégration malveillante.
Mécanisme
<iframe sandbox="allow-scripts"> : par défaut toutes les restrictions s'appliquent ; on peut les assouplir avec allow-scripts/allow-same-origin/allow-forms/allow-popups etc. Sans allow-same-origin, le contenu intégré est traité comme d'une autre origine.
Cas d’usage
- Intégration sûre de tiers
- Isolation des publicités
- Sécurité iframe