Políticas de segurança do navegador
O navegador pode aplicar limites que continuam valendo depois que a página foi entregue.
Como cabeçalhos HTTP limitam conteúdo, enquadramento, permissões e interpretações inesperadas no navegador.
Política de Segurança de Conteúdo
Content Security Policy define fontes permitidas para cada recurso e pode impedir execução fora dessa política. Ela reduz o impacto de algumas falhas ao limitar o que o navegador aceita executar.
A CSP é camada adicional, não correção de código vulnerável. Política ampla perde efeito; política rígida escrita sem conhecer os recursos da página bloqueia funções legítimas.
Enquadramento e interface enganosa
Uma página carregada dentro de um frame controlado por outro site pode induzir cliques fora de contexto. Restringir quem pode enquadrar o conteúdo reduz esse tipo de interface enganosa.
A diretiva frame-ancestors e o cabeçalho X-Frame-Options tratam esse limite. A escolha acompanha a necessidade real de incorporação do produto.
Tipos, permissões e referência
X-Content-Type-Options orienta o navegador a respeitar o tipo declarado. Permissions-Policy pode restringir recursos como câmera, microfone e geolocalização quando a página não precisa deles.
Referrer-Policy controla quanta informação acompanha uma navegação para outro site. Aplicação, servidor e borda precisam declarar o mesmo valor: cabeçalho repetido com conteúdo diferente é fonte comum de comportamento inesperado.