💻 Сторонний скрипт больше не сможет ходить куда угодно

В Chrome 152 появился Connection-Allowlist — HTTP-заголовок со списком разрешённых сетевых адресов для страницы или worker.

Браузер проверяет соединения и блокирует всё, что не попало в список. Это дополнение к CSP, в том числе для сетевых механизмов, которые она охватывает не полностью.

Сначала можно включить режим отчётов: увидеть нарушения, а уже потом блокировать запросы.

Для недоверенного кода авторы советуют отдельный cross-origin или sandboxed iframe с собственной политикой.

🔗 Примеры заголовков и настройки

🐸 Библиотека программиста