Permissions-Policy
HTTP-huvudet som talar om vilka webbläsarfunktioner en sida och dess inbäddade ramar över huvud taget får använda — kamera, mikrofon, position och ett femtiotal till.
Syntaxen ser ut som Permissions-Policy: camera=(), geolocation=(self), alltså en lista över funktioner och vilka ursprung som får röra dem. Två användningar är distinkta. Defensivt begränsar det skadan av ett komprometterat tredjepartsskript eller en injicerad ram: står kameran som förbjuden kan inget skript på sidan ens fråga efter den, oavsett vad det försöker. Organisatoriskt låter det en sajt sätta regler för innehåll den inte kontrollerar — en annonsram kan nekas automatisk uppspelning och positionsdata utan att annonsnätverket behöver tillfrågas. Notera att det begränsar möjligheten att be om tillstånd, inte tillstånd som redan getts, och att en funktion som inte nämns som standard är tillåten för samma ursprung.