Permissions-Policy
La cabecera HTTP que declara qué capacidades del navegador puede usar una página y sus marcos incrustados: cámara, micrófono, ubicación y otras cincuenta más.
La sintaxis se ve así: Permissions-Policy: camera=(), geolocation=(self), es decir, una lista de funciones y qué orígenes pueden tocarlas. Hay dos usos bien distintos. De forma defensiva, limita el daño de un script de terceros comprometido o un marco inyectado: si la cámara está declarada fuera de límites, ningún script de la página puede ni siquiera pedirla, haga lo que haga. De forma organizativa, permite a un sitio poner reglas a contenido que no controla: a un marco publicitario se le puede negar la reproducción automática y los datos de ubicación sin tener que pedírselo a la red de anuncios. Nótese que restringe la posibilidad de solicitar permiso, no un permiso ya concedido, y que una función no mencionada se permite por defecto para el mismo origen.