Keine Cross-Origin-Isolation

Niedrig
Keine Cross-Origin-Isolation

Ihre Website ist nicht Cross-Origin-isoliert. Dadurch kann sie leistungsstarke Performance-APIs nicht nutzen und ist anfälliger für Seitenkanalangriffe.

Risiko

Ohne Cross-Origin-Isolation (COOP + COEP) kann Ihre Website weder SharedArrayBuffer noch hochauflösende Timer oder performance.measureUserAgentSpecificMemory() verwenden. Gravierender noch: Der Arbeitsspeicher Ihres Prozesses ist anfällig für Spectre-artige Angriffe durch Cross-Origin-Inhalte, die im selben Prozess geladen werden.

Lösung

Setzen Sie sowohl den Header Cross-Origin-Opener-Policy: same-origin als auch Cross-Origin-Embedder-Policy: require-corp. Stellen Sie sicher, dass alle Cross-Origin-Ressourcen passende CORS- oder CORP-Header besitzen.

Beispiel
Cross-Origin-Opener-Policy: same-origin Cross-Origin-Embedder-Policy: require-corp
Cross-Origin Isolation - web.dev
Kommentare (0)

Noch keine Kommentare. Beginnen Sie die Diskussion!