Un laboratorio editoriale per chi progetta, gestisce e migliora prodotti digitali: meno rumore, più metodo.
Cross-Origin-Resource-Policy è un header di risposta della risorsa. Dice chi può caricarla in no-cors. same-origin, same-site o cross-origin. Non è CO...
Cross-Origin-Embedder-Policy è un header di risposta. Dice se il documento può caricare risorse no-cors. require-corp chiede CORP. Non è CORS. Non è C...
Cross-Origin-Opener-Policy è un header di risposta. Dice se la pagina condivide il browsing context group. same-origin isola. Non è CORS. Il banner co...
X-Frame-Options è un header di risposta. Dice se la pagina può finire in un iframe. DENY o SAMEORIGIN. ALLOW-FROM è obsoleto. Non è frame-ancestors. I...
X-Content-Type-Options è un header di risposta. Dice al browser di rispettare i MIME in Content-Type. nosniff è l'unico valore. Non è la CSP. Il banne...
Permissions-Policy è un header di risposta. Dice quali funzioni — camera, microfono, geolocalizzazione — la pagina e gli iframe possono usare. camera=...
Referrer-Policy è un header di risposta. Dice cosa della URL può finire in Referer. Il default è strict-origin-when-cross-origin. unsafe-url non si us...
CORS è un header di risposta. Dice quale origin può leggere. Non chiude l'endpoint. Il jolly non sta con i cookie. Il preflight è un OPTIONS. Un plugi...
HTTPS dice con quale server parli. Non dice se il file del CDN è ancora quello. SRI è l'hash sull'elemento. Senza crossorigin, la richiesta cross-orig...
Il lucchetto sulla home non basta. Mixed content è una pagina HTTPS che pesca HTTP. Immagini auto-promosse, script bloccati. Il plugin «forza HTTPS» n...
Il banner chiede un consenso. Non mette HttpOnly sulla sessione. Secure, HttpOnly e SameSite si spediscono nell’header di risposta. SameSite=None rich...
Il plugin che forza HTTPS è un redirect. HSTS è un header. Si spedisce in HTTPS, con una rampa di max-age. Il preload non è un default da CMS.