Permissions-Policy

構文はPermissions-Policy: camera=(), geolocation=(self)のように、機能と、それに触れてよいオリジンの一覧で書く。用途は二つある。防御面では、侵害されたサードパーティのスクリプトや注入されたフレームによる被害を抑える。カメラを禁止すれば、ページ上のどのスクリプトも何をしようと、カメラの許可を求めることすらできない。運用面では、自分で管理できないコンテンツに対するルールを決められる。広告フレームの自動再生や位置情報を、広告ネットワークに相談せずに禁止できる。

注意点として、これが制限するのは許可を「求める」能力であり、すでに与えられた許可ではない。また記載のない機能は、同一オリジンには許可されたままになる。