Aislamiento de contexto con COOP, CORP y COEP

• COOP (Cross-Origin-Opener-Policy) responde «¿con qué ventanas comparto contexto?». Con same-origin, una ventana de otro origen que abra esta página, o que esta página abra, queda en un grupo aparte, y la referencia entre las dos se corta. Con unsafe-none, el valor por defecto, no hay separación. Hay un valor intermedio para las páginas que necesitan conservar la referencia a las ventanas emergentes que ellas abren.
• CORP (Cross-Origin-Resource-Policy) la pone el recurso y responde «¿quién puede incrustarme?»: same-origin, same-site o cross-origin. El navegador la aplica a las peticiones sin CORS, como una imagen o un script normal.
• COEP (Cross-Origin-Embedder-Policy) la pone la página y responde «¿qué acepto incrustar?». Con require-corp, cada recurso de otro origen tiene que traer una CORP que lo permita o pasar por CORS; si no, se bloquea.

Una página queda aislada entre orígenes (window.crossOriginIsolated es verdadero) solo si envía a la vez COOP con el valor same-origin exacto y COEP con require-corp o credentialless. Con eso, el navegador habilita funciones como la memoria compartida entre hilos que necesita el motor del visor. Cualquier otro valor de COOP, aunque se parezca, no basta.

Abre cabeceras-preproduccion.txt y notas-qa.txt.

Cuando el visor quede aislado, COEP revisará cada subrecurso. Pasan los del mismo origen; los de otro origen pasan si traen una CORP que los permita (same-site sirve para un subdominio del mismo sitio) o si se pidieron con CORS y el servidor lo aceptó. El resto se bloquea. Por eso, antes de activar require-corp, se hace el inventario de subrecursos y se habla con cada tercero. Abre recursos-del-visor.txt.

COOP se decide por documento, así que se puede aplicar en una ruta sin tocar las demás. Pero en cada ruta donde se ponga hay que saber qué ventanas abre esa página y cuáles necesitan seguir hablándole. La ventana de inicio de sesión del portal vive en otro subdominio, que es otro origen, y avisa con un mensaje a la página que la abrió.

CORP no solo sirve para el aislamiento: es una defensa directa contra las fugas entre sitios de la sala anterior. Un recurso privado que declara cross-origin le dice al navegador que cualquier sitio puede incrustarlo con la sesión de la persona. El valor correcto sale de saber quién lo usa.