Aislar terceros en marcos o dominios aparte

Un <iframe> carga otro documento dentro de la página. Si ese documento viene de otro origen (otro esquema, otro dominio u otro puerto), la política del mismo origen le impide leer o modificar el documento que lo aloja, y al revés. Ese es el aislamiento que se busca: el script del chat, metido en un marco de otro origen, no ve los campos de tarjeta de la página.

La misma idea funciona al revés para el dato sensible. Muchas pasarelas ofrecen un formulario alojado en su propio dominio que la tienda inserta en un marco: la tarjeta se escribe en el documento de la pasarela y ningún script de la tienda, propio o ajeno, la toca. El atributo sandbox añade restricciones extra a un marco (sin scripts, sin formularios, sin ventanas nuevas) y cada palabra que se le añade devuelve una capacidad concreta.

El aislamiento de un marco depende de su origen, no de que exista. Un marco servido desde el mismo dominio que la página es, para el navegador, el mismo origen: sin sandbox puede alcanzar el documento que lo aloja. Con sandbox el navegador le asigna un origen aparte, salvo que la lista de permisos le devuelva su origen real; y si además le permite ejecutar scripts, el documento del marco puede quitarse el propio atributo y dejar el aislamiento sin efecto. La documentación de los navegadores lo advierte de forma expresa.

Abre el laboratorio y lee propuesta-aislamiento.txt, marcos-pago.html, dominios.txt y csp-propuesta.txt en la carpeta anacona-aislamiento.

Hay dos formas de arreglar ese marco: quitarle la palabra del sandbox que le devuelve su origen real o servirlo desde un dominio aparte que la empresa ya tiene registrado. La segunda es la más robusta, porque no depende de que nadie vuelva a añadir esa palabra en una edición futura.

Un marco no aísla lo que no se mete en él. La propuesta deja algunos terceros en el mismo documento que antes, cada uno con su razón. Un auditor cuenta lo que queda expuesto antes de dar por bueno el diseño.

Con la tarjeta dentro del marco de la pasarela, ningún script de la página la lee. Eso reduce mucho el riesgo, pero no lo borra: la página que aloja el marco sigue siendo la que decide qué marco se muestra y dónde.