Немає заголовків ізоляції між джерелами

Чому це важливо

Довідник web.dev із заголовків безпеки називає Cross-Origin-Opener-Policy і Cross-Origin-Resource-Policy серед заголовків, рекомендованих для всіх сайтів, а Cross-Origin-Embedder-Policy — для сайтів, що вмикають ізоляцію між джерелами.

Що зробити

1. Перегляньте знахідку: у ній показано для щонайбільше десяти сторінок, які з трьох заголовків кожна надіслала, — тут жодного.
2. Спробуйте Cross-Origin-Opener-Policy: same-origin і протестуйте сторінки, які відкривають інші сайти або які відкриваються ними, як-от вікна входу чи оплати.
3. Додайте Cross-Origin-Resource-Policy до файлів, які інші сайти не мають завантажувати, а Cross-Origin-Embedder-Policy задавайте, лише якщо вам потрібна ізоляція між джерелами, бо він блокує ресурси, які її не дозволяють.

Коли залишити як є: якщо ваші сторінки покладаються на вікна чи вбудовані елементи, спільні з іншими сайтами, і вам не потрібна ізоляція, можна залишити як є; примітка лише фіксує, що жоден із заголовків не надсилається.

Що ми читаємо

Ми захоплюємо заголовки кінцевої відповіді кожної просканованої сторінки з власним user agent і оцінюємо лише те, чи наявні Cross-Origin-Opener-Policy, Cross-Origin-Embedder-Policy і Cross-Origin-Resource-Policy; їхні значення зберігаються як докази, але це правило їх не оцінює.

Сайт фіксується один раз, коли жоден із трьох не трапляється на жодній просканованій сторінці. Один із них, із будь-яким значенням, на будь-якій одній сторінці означає, що знахідки немає. Результат потребує повного сканування: коли сканування зупинилося на ліміті сторінок або просканована сторінка не відповіла кодом 200, перевірка не може дійти висновку. Те саме стосується сторінки, заголовки якої захоплено не повністю.

Приклад і докази

Ілюстративний приклад — один аудит невеликого сайту, а не реальний аудит.

В аудиті https://bakery.example/ кожна просканована сторінка відповідає із заголовками на зразок:

HTTP/1.1 200 OK
Content-Type: text/html; charset=utf-8
X-Content-Type-Options: nosniff

Жодна сторінка не надсилає жодного з трьох перевірених заголовків політик, тому сайт фіксується один раз.

Cross-Origin-Opener-Policy: same-origin
Cross-Origin-Resource-Policy: same-site

Можливе виправлення після тестування вікон входу та вбудованих елементів: додайте ці два заголовки.

Підтвердити й перевірити знову

Перевірте самі: відкрийте заголовки відповіді кількох сторінок в інструментах розробника вашого браузера й пошукайте саме Cross-Origin-Opener-Policy, Cross-Origin-Embedder-Policy чи Cross-Origin-Resource-Policy.

Повторна перевірка: Повний аудит — запустіть новий аудит сайту. Знахідка закривається, коли повне сканування, у якому кожна сторінка відповідає кодом 200 і жодну не пропущено, знаходить один із трьох заголовків принаймні на одній сторінці. Сканування, обірване лімітом сторінок, підтвердити цього не може.

Обмеження та джерела

Перевірка фіксує, чи названо заголовки, а не те, що вони кажуть: Cross-Origin-Opener-Policy: unsafe-none вважається наявним. Чистий результат не означає, що сайт ізольовано між джерелами; це не вимірюється, і читається лише кінцева відповідь, яку кожна сторінка дала нашому сканеру.

Упевненість: Висока, бо назви заголовків зчитуються безпосередньо з кожної відповіді.

Джерела

• web.dev, Короткий довідник із заголовків безпеки — називає Cross-Origin-Opener-Policy і Cross-Origin-Resource-Policy серед заголовків, рекомендованих для всіх сайтів, а Cross-Origin-Embedder-Policy — для сайтів, що вмикають ізоляцію між джерелами. Перевірено 28 вересня 2026.

Редакційна перевірка: 2 листопада 2026

Пов’язані правила

• HTML-сторінкам в аудиті бракує nosniff — ще один заголовок, який web.dev рекомендує для всіх сайтів; цю окрему перевірку наразі відкладено в аудиті.
• Сторінки не надсилають заголовків щодо вбудовування у фрейми — сторінки не надсилають заголовка щодо фреймів.