Revisar un widget incrustado por terceros

El atributo sandbox de un marco funciona al revés de lo que parece: escrito sin valores, prohíbe casi todo (scripts, formularios, ventanas, navegar la página superior, y además trata el contenido como de un origen opaco). Cada palabra que se añade devuelve un permiso concreto. La revisión consiste en comparar cada palabra con una necesidad declarada.

Un detalle: allow-scripts junto con allow-same-origin anula el sandbox cuando el contenido del marco es del mismo origen que la página, porque el marco podría quitarse el atributo. Con un proveedor de otro origen no pasa eso; allow-same-origin solo le devuelve su propio origen, y con él sus cookies.

Entre los permisos del sandbox hay uno especialmente delicado: el que deja al marco cambiar la dirección de la pestaña entera. Un marco con ese permiso puede llevar a la persona a otro sitio sin que ella lo pida, y es la puerta de los engaños de la sala 3 desde dentro del propio portal. Si el proveedor no necesita navegar la página que lo contiene, no se le presta; y si alguna vez lo necesitara, existe una versión que solo lo permite tras un gesto de la persona.

Abre marco-prueba.html y cuestionario-proveedor.txt, y compara cada palabra del sandbox con las respuestas.

El atributo allow del marco delega funciones del navegador al contenido incrustado, como la cámara, el micrófono, la geolocalización o los pagos; es la política de permisos aplicada a un marco concreto. Lo que no se delega, el marco de otro origen no lo puede pedir. Igual que con el sandbox, cada función delegada se justifica con una necesidad.

Lo que se pone en la dirección del marco llega al proveedor, queda en sus registros y, según su política de referente, puede salir hacia los recursos que su página carga de otros dominios. Por eso se envía solo lo que el proveedor necesita, y nunca un dato personal que no pidió. Abre también respuesta-proveedor.http para ver su política de referente y de dónde carga recursos.

Con todo leído, el pedido tiene dos lados. Del lado del portal: quitar del marco lo que sobra y no confiar en el puntaje que llega por mensaje, porque el proveedor ofrece el oficial de servidor a servidor. Del lado del proveedor: que su página limite quién puede enmarcarla (hoy acepta a cualquiera) y que no envíe la dirección completa como referente.