Permissions-Policy ne işe yarar?

Permissions-Policy, web sayfasının tarayıcıdaki hassas veya güçlü özellikleri hangi kaynakların kullanabileceğini belirleyen HTTP yanıt başlığıdır. Geolocation, kamera, mikrofon, tam ekran ve benzeri özellikleri ana sayfa için kısıtlayabilir; gömülü bir iframe'e bu özelliği kullanma izni verip vermeyeceğinizi de kontrol eder. Bu başlık özelliği otomatik olarak açmaz ve kullanıcının tarayıcı izin penceresini ortadan kaldırmaz; yalnızca sayfanın izin politikası için üst sınır belirler.

Nasıl çalışır?​

Sunucu, HTML yanıtıyla birlikte bir Permissions-Policy başlığı gönderir. Başlıkta bir veya daha fazla özellik ve bunların kullanabileceği kaynaklar belirtilir. Örneğin:


Bu örnekte konum özelliği yalnızca aynı kaynakta çalışabilir; kamera ve mikrofon ise bu belge için devre dışıdır. self sayfanın kendi kaynağını ifade eder. Boş parantez, ilgili özelliğe hiçbir kaynağın izinli olmadığı anlamına gelir.

Bir özelliğin üçüncü taraf iframe içinde çalışmasına izin vermek istiyorsanız üst belgenin politikası izin vermeli ve ilgili özellik iframe’e devredilmelidir. Konum gibi varsayılanı self olan bir özellikte çapraz kaynak iframe için allow ile açık delegasyon gerekir; tüm özelliklerin varsayılanı aynı değildir. Örnek:


Burada üst sayfa, maps.example.com kaynağına konum özelliğini devredebilecek şekilde yapılandırılmıştır. allow="geolocation" ise iframe'in özelliği kullanma talebinde bulunabilmesi için gereken ek sınırlamadır. Bu ayar, kullanıcının konum iznini kesin olarak vereceği anlamına gelmez.

Hangi kararı vermelisiniz?​

Önce sitenizin gerçekten kullandığı tarayıcı özelliklerini belirleyin. Kullanılmayan hassas özellikleri kapatmak, yanlış yapılandırılmış veya sonradan eklenmiş bir bileşenin bunlara erişebilmesini sınırlar. Gömülü hizmetlerde ise yalnızca ihtiyaç duyulan özelliği ve gerekli kaynağı tanımlayın.

Uygulama ve kontrol adımları​

1. Sitenin JavaScript kodunda kamera, mikrofon, konum, tam ekran veya benzeri özelliklerin kullanıldığı yerleri ve iframe bileşenlerini listeleyin.
2. Kullanılmayan hassas özellikleri boş izin listesiyle kapatın. Örnek: camera=() ve microphone=().
3. Ana sayfanın HTTP yanıtına, gerçekten ihtiyaç duyulan özellikleri yalnızca gerekli kaynaklarla belirten Permissions-Policy başlığını ekleyin.
4. Üçüncü taraf iframe kullanılıyorsa üst belgedeki politika ile iframe'in allow niteliğini birlikte kontrol edin. Kaynak adını protokolüyle ve doğru origin olarak yazın; gereksiz kaynakları eklemeyin.
5. Değişikliği yayımladıktan sonra tarayıcının geliştirici konsolunu ve ilgili işlevi kontrol edin. Özellik engellenirse konsoldaki politika uyarısını, başlık değerini ve iframe allow niteliğini karşılaştırın.

Başlık yanlış yazılmışsa veya kullanılan tarayıcı ilgili yönergeyi desteklemiyorsa beklenen kısıtlama uygulanmayabilir. Bu nedenle Permissions-Policy'yi, sunucu tarafındaki yetkilendirme ve erişim kontrollerinin yerine koymayın. Ayrıca bir özelliğin çalışmaması her zaman bu başlıktan kaynaklanmaz; güvenli bağlam şartı, kullanıcı izni, tarayıcı ayarı veya iframe kaynağının kendi politikası da etkili olabilir.

Sık yapılan hatalar​

Yalnız iframe'e allow eklemek: Bu nitelik üst belgenin politikasını genişletmez. Üst politika kaynağa izin vermiyorsa iframe'deki nitelik tek başına yeterli değildir.

Başlığı izin verme mekanizması sanmak: geolocation=(self) yazmak, tarayıcının kullanıcıdan konum izni istemesini garanti etmez; yalnızca hangi kaynakların bu talepte bulunabileceğini sınırlar.

Her şeyi genişçe açmak: Tüm kaynaklara veya gereksiz özelliklere izin vermek, politikanın koruyucu değerini azaltır. İhtiyaç duyulan en dar kaynak ve özellik listesini kullanın.

Özellik adlarını varsaymak: Her özellik aynı varsayılan davranışa ve tarayıcı desteğine sahip değildir. Kullandığınız yönergenin tarayıcı uyumluluğunu ve uygulamanızın gerçek ihtiyacını ayrıca kontrol edin.

Sık sorulan sorular​

Başlıkta özellik yoksa kesin kapalı mıdır?​

Hayır. Yönergenin tarayıcıdaki varsayılan izin listesi devreye girer; self veya tüm kaynaklar gibi değerler özelliğe göre değişir. Bir iframe’in özelliği otomatik miras alabilmesi de varsayılana bağlıdır. Kullandığınız özelliğin belgesini ve gerçek tarayıcı desteğini ayrı inceleyin.

Iframe başka bir origin’e yönlenirse izin aynı kalır mı?​

allow içinde yalnız geolocation yazımı varsayılan olarak iframe src kaynağını hedefler. Başka origin’e yönlenmek o yeni kaynağı otomatik kapsamaz. Gerçekten gereken yeni origin için üst politika ve iframe izin listesi birlikte değerlendirilmelidir. Üst katmanda kapatılmış özellik çocuk belgede yeniden açılamaz.