Permissions-Policy
HTTP-заголовок, объявляющий, какими возможностями браузера вообще могут пользоваться страница и её встроенные фреймы: камерой, микрофоном, геолокацией и ещё примерно полусотней других.
Синтаксис выглядит так: Permissions-Policy: camera=(), geolocation=(self) — список функций и источников, которым их можно трогать. Применений два. Защитное: ограничить ущерб от скомпрометированного стороннего скрипта или внедрённого фрейма — если камера объявлена под запретом, ни один скрипт на странице не сможет даже запросить её, что бы ни пытался. Организационное: задать правила для контента, который сайт не контролирует, — рекламному фрейму можно запретить автовоспроизведение и геоданные, не согласовывая это с рекламной сетью. Учтите: заголовок ограничивает возможность запросить разрешение, а не уже выданное разрешение, и функция, которую вы не упомянули, по умолчанию разрешена для того же origin.