Permissions-Policy: o que é e como configurar
O Permissions-Policy controla que funcionalidades sensíveis do navegador o seu site, e qualquer conteúdo de terceiros incorporado, tem permissão para usar. Neste artigo explicamos o que é, porque importa e como configurá-lo.
O que é o Permissions-Policy
O Permissions-Policy (anteriormente conhecido como Feature-Policy) é um cabeçalho HTTP que permite ativar, desativar ou restringir o acesso a funcionalidades do navegador – como câmara, microfone, geolocalização, sensores de movimento ou reprodução automática de vídeo – tanto para o próprio site como para qualquer conteúdo de terceiros incorporado em iframes.
Porque é importante
Muitos sites incorporam conteúdo de terceiros (vídeos, mapas, widgets, anúncios) através de iframes. Sem uma política definida, esse conteúdo de terceiros pode, em alguns casos, ter acesso a funcionalidades sensíveis do navegador do visitante sem necessidade real – por exemplo, um anúncio incorporado poder aceder à geolocalização. O Permissions-Policy permite bloquear explicitamente estes acessos desnecessários, reduzindo a superfície de ataque e reforçando a privacidade dos visitantes.
Boas práticas
- Desativar por defeito as funcionalidades que o seu site não utiliza (ex: câmara, microfone, geolocalização), a menos que sejam explicitamente necessárias.
- Restringir o acesso a estas funcionalidades apenas ao próprio domínio, quando forem necessárias, em vez de as deixar disponíveis para qualquer conteúdo de terceiros incorporado.
- Rever a política sempre que incorporar novos widgets, vídeos ou outros conteúdos de terceiros que possam necessitar de permissões específicas.
- Testar funcionalidades como formulários de vídeo-chamada ou upload por câmara após aplicar esta política, para confirmar que continuam a funcionar.
Como corrigir
- Identifique que funcionalidades sensíveis do navegador o seu site efetivamente utiliza (ex: geolocalização para uma loja, câmara para um formulário de verificação).
- Configure o cabeçalho no seu servidor, desativando por defeito o que não é necessário. Por exemplo, para desativar geolocalização, câmara e microfone para todos:
Permissions-Policy: geolocation=(), camera=(), microphone=() - Se alguma funcionalidade for necessária apenas no próprio domínio, restrinja-a em vez de a desativar totalmente:
Permissions-Policy: geolocation=(self) - Teste todas as funcionalidades do site que dependam destas permissões, confirmando que continuam a funcionar corretamente após a alteração.
Restringir funcionalidades sem confirmar primeiro quais são realmente usadas pode partir integrações importantes do seu site – como formulários com upload por câmara ou mapas interativos. Na WebDig Host, mapeamos as funcionalidades realmente necessárias ao seu site antes de configurar o Permissions-Policy, evitando surpresas.
Conhecer os serviços de alojamento e gestão de domínios da WebDig Host
Perguntas frequentes sobre o Permissions-Policy
Qual a diferença entre Permissions-Policy e Feature-Policy?
Feature-Policy é o nome antigo deste cabeçalho, hoje substituído por Permissions-Policy, com uma sintaxe ligeiramente diferente. Recomenda-se utilizar o Permissions-Policy, já que é o padrão atual suportado pelos navegadores modernos.
Este cabeçalho afeta apenas conteúdo de terceiros ou também o meu próprio site?
Afeta ambos. Pode definir permissões diferentes para o próprio domínio (self) e para conteúdo de terceiros incorporado, ou desativar uma funcionalidade por completo para todos.
O meu site precisa mesmo desta proteção se não usa câmara nem microfone?
Sim, especialmente se incorporar conteúdo de terceiros (anúncios, vídeos, widgets). Mesmo sem usar estas funcionalidades diretamente, o Permissions-Policy garante que esse conteúdo de terceiros também não pode aceder-lhes através do seu site.
Verifique agora os cabeçalhos de segurança do seu site
Com o Secure Check, pode confirmar gratuitamente se o Permissions-Policy e outros cabeçalhos de segurança do seu domínio estão configurados, em poucos segundos.