Trusted Types
Transforme en erreur de type le fait de passer une chaîne brute à innerHTML — et supprime ainsi, par construction, les XSS basées sur le DOM.
Le problème des XSS DOM, c'est que les appels dangereux acceptent des chaînes, et qu'une chaîne ne porte aucune information sur son origine. Trusted Types inverse la logique : avec la protection activée, le navigateur refuse d'interpréter une chaîne brute dans des points d'entrée sensibles (sinks) comme innerHTML, script.src ou eval. Seuls des objets spéciaux sont acceptés, et ceux-ci ne peuvent être produits que par une politique (policy) enregistrée par le développeur.
Le gain, c'est que la revue de code devient finie. Au lieu de traquer chaque endroit où des données non fiables pourraient atteindre un sink, il suffit d'auditer les politiques, peu nombreuses et centralisées. La protection s'active avec la directive CSP require-trusted-types-for 'script', et un mode « report-only » permet de repérer les violations avant de les appliquer pour de bon.