Cross-origin isolation
Stan, w który strona wchodzi po wysłaniu dwóch konkretnych nagłówków — niezbędny, by odzyskać funkcje, które Spectre odebrał webowi.
Po 2018 roku we wszystkich przeglądarkach wyłączono SharedArrayBuffer i zgrubiono pomiar czasu, bo połączenie pamięci współdzielonej z precyzyjnym zegarem to dokładnie to, czego potrzebuje atak side-channel, by czytać niedostępną pamięć. Te funkcje są jednak nieodzowne dla każdego, kto kompiluje kod wielowątkowy na web. Rozwiązaniem stała się dobrowolna izolacja: z Cross-Origin-Opener-Policy: same-origin dokument nie może dzielić procesu z obcą treścią, a z Cross-Origin-Embedder-Policy: require-corp nie może osadzać zasobów, które wprost na to nie pozwoliły. Gdy ustawione są oba, w procesie nie ma danych, których strona i tak nie mogłaby czytać, więc funkcje wracają. Cena: osadzona treść bez właściwych nagłówków przestaje działać.