Cross-origin isolation
De toestand waarin een pagina belandt door twee specifieke headers te sturen, vereist om de functies terug te krijgen die Spectre het web ontnam.
Na 2018 werd SharedArrayBuffer in alle browsers uitgeschakeld en werd de timing vergroofd, omdat de combinatie van gedeeld geheugen en nauwkeurige klokken precies is wat een zijkanaalaanval nodig heeft om geheugen te lezen dat buiten bereik hoort te liggen. Die functies zijn niettemin onmisbaar voor alles wat multithreaded code naar het web compileert. De oplossing was vrijwillige isolatie: met Cross-Origin-Opener-Policy: same-origin kan het document geen proces delen met vreemde inhoud, en met Cross-Origin-Embedder-Policy: require-corp kan het geen bronnen insluiten die dat niet expliciet hebben toegestaan. Zijn beide gezet, dan staat er in het proces niets wat de pagina niet toch al mag lezen, en worden de functies weer ingeschakeld. De prijs is dat ingesloten inhoud zonder de juiste headers ophoudt te werken.