Permissions-Policy
Cabeçalho HTTP que declara quais recursos do navegador uma página e seus frames incorporados podem usar, como câmera, microfone, localização e cerca de cinquenta outros.
A sintaxe é algo como Permissions-Policy: camera=(), geolocation=(self): uma lista de recursos e das origens que podem tocá-los. Há dois usos distintos. Na defesa, limita o estrago de um script de terceiros comprometido ou de um frame injetado: com a câmera declarada proibida, nenhum script da página consegue nem pedi-la, por mais que tente. Na organização, permite a um site definir regras para conteúdo que ele não controla: um frame de publicidade pode ter autoplay e localização negados sem consultar a rede de anúncios.
Note que ele restringe a possibilidade de pedir permissão, não uma permissão já concedida, e que um recurso não mencionado fica, por padrão, liberado para a mesma origem.