COEP
COEP（Cross-Origin Embedder Policy）は、ページに対し、同一オリジンのリソースか明示的なクロスオリジン許可（CORP/CORS）を持つリソースのみを読み込むことを要求し、クロスオリジン分離を可能にする。
目的
SharedArrayBuffer や高精度タイマーのためにクロスオリジン分離を有効化し、クロスオリジンリソースを経由する Spectre サイドチャネル漏えいを防ぐ。
メカニズム
COEP: require-corp では、すべてのクロスオリジンリソースが CORP: cross-origin または CORS ヘッダーを持たなければならず、持たない場合は読み込みが拒否される。credentialless 変種は CORP 要求を緩和する代わりにクレデンシャルを禁止する。COOP と併用すると crossOriginIsolated が有効になる。
ユースケース
- Spectre への防御
- クロスオリジン分離
- SharedArrayBuffer のセキュリティ