Permissions-Policy
L'en-tête HTTP qui déclare quelles capacités du navigateur une page et ses frames intégrées ont le droit d'utiliser — caméra, micro, localisation et une cinquantaine d'autres.
La syntaxe ressemble à Permissions-Policy: camera=(), geolocation=(self) : une liste de fonctionnalités et des origines autorisées à y toucher. Deux usages se distinguent. Côté défense, elle limite les dégâts d'un script tiers compromis ou d'une frame injectée : la caméra étant déclarée interdite, aucun script de la page ne peut même la demander, quoi qu'il tente. Côté organisation, elle permet à un site d'imposer des règles au contenu qu'il ne contrôle pas — on peut interdire la lecture automatique et la localisation à une frame publicitaire sans avoir à consulter le réseau publicitaire. À noter qu'elle restreint la possibilité de demander une permission, et non une permission déjà accordée, et qu'une fonctionnalité non mentionnée reste par défaut autorisée pour la même origine.