Missing Headers: Permissions-Policy

[bearmannl]

Hi,

Security Headers is een website om de algemene security posture van websites te boordelen op basis van de headers.

Zie het resultaat alhier:
Security Headers results: https://berthub.eu/tkconv/

Dit issue specifiek aangemaakt om te verhelderen of deze implentatie (in dit geval Permissions-Policy) gewenst is. Zo niet, hierbij documenteren dat deze niet gebruikt zal worden, met bijbehorende ontwerp keuze daarvoor.

Details vanaf de website:
Permissions Policy is a new header that allows a site to control which features and APIs can be used in the browser.

[berthubert]

Patches welcome.

[bearmannl]

Een (overvolledig) overzicht ter illustratie van de mogelijke settings:

Directive	Aanbevolen Instelling	Reden
accelerometer	()	Er is geen behoefte aan bewegingsgegevens van het apparaat.
ambient-light-sensor	()	Niet nodig voor datazoek- of inlogfunctionaliteit.
autoplay	()	Automatisch afspelen van media is niet noodzakelijk.
camera	()	Geen reden om toegang tot de camera van de gebruiker te geven.
cross-origin-isolated	()	Waarschijnlijk niet nodig, tenzij geavanceerde isolatietechnieken vereist zijn.
display-capture	()	Geen schermdeel-functionaliteit verwacht.
document-domain	()	Geen domeinontspanning nodig.
encrypted-media	()	Versleutelde media is niet relevant voor dit gebruik.
fullscreen	(self)	Alleen toestaan op dezelfde oorsprong, indien nodig voor een betere gebruikerservaring.
geolocation	()	Geolocatie is niet vereist.
gyroscope	()	Geen behoefte aan gyroscoopgegevens.
magnetometer	()	Niet nodig voor de functionaliteit van deze site.
microphone	()	Geen audio-invoer nodig.
midi	()	Geen toegang tot MIDI-apparaten vereist.
payment	()	Geen online betalingsfuncties ondersteund.
picture-in-picture	()	Niet van toepassing, aangezien de site geen mediagebruik bevat.
publickey-credentials	(self)	Alleen toestaan op dezelfde oorsprong, indien WebAuthn wordt gebruikt voor inlogmeldingen of authenticatie.
screen-wake-lock	()	Geen behoefte om het scherm wakker te houden.
serial	()	Seriële communicatie is onnodig.
speaker	()	Geen controle over audio-uitvoer vereist.
usb	()	Toegang tot USB-apparaten is niet relevant.
web-share	()	Geen gegevensdeel-functionaliteit opgenomen.
xr-spatial-tracking	()	Geen augmented reality-functionaliteiten gebruikt.

Dit kan met nginx worden toegepast op de volgende manier:
add_header Permissions-Policy "accelerometer=(), ambient-light-sensor=(), autoplay=(), camera=(), cross-origin-isolated=(), display-capture=(), document-domain=(), encrypted-media=(), fullscreen=(self), geolocation=(), gyroscope=(), magnetometer=(), microphone=(), midi=(), payment=(), picture-in-picture=(), publickey-credentials=(self), screen-wake-lock=(), serial=(), speaker=(), usb=(), web-share=(), xr-spatial-tracking=()";

Neem hierin uiteraard mee wat je zelf wel of niet relevant zou vinden, bovenstaande is enkel een suggestie.

Dit zal echter op de webserver moeten gebeuren, het kan niet in de statische HTML code.