Trusted Types
Trusted Types est une API navigateur exigeant que les puits d'injection DOM (innerHTML, insertAdjacentHTML) soient créés via des politiques de sécurité typées, prévenant le XSS DOM à la source.
Objectif
Faire respecter des politiques de sécurité aux points d'injection DOM afin de bloquer les injections XSS au développement plutôt qu'à l'exécution ; défense en profondeur pour CSP.
Mécanisme
Une fois activée, les puits dangereux comme innerHTML n'acceptent que le type TrustedHTML, à créer via des politiques de confiance. document.write, eval et d'autres exigent aussi des politiques. Les violations déclenchent rapports ou blocages.
Cas d’usage
- Éradication du XSS DOM
- Défense en profondeur de CSP
- Injection type-safe