보안 컨텍스트

웹의 일부 API는 매우 강력하여 공격자가 다음과 같은 작업을 수행할 수 있습니다.

• 사용자의 프라이버시 침해
• 사용자 컴퓨터에 대한 저수준 엑세스 권한을 얻음
• 사용자 자격 증명과 같은 데이터에 대한 액세스 권한을 얻음

컨텍스트는 보안 컨텍스트 명세서에 정의된 특정한 최소 인증 및 기밀성 표준을 충족할 때 안전하다고 간주됩니다. 특정 문서는 보안 컨텍스트인 최상위 브라우징 컨텍스트(창 또는 탭)의 활성 문서일 때 보안 컨텍스트에 있는 것으로 간주됩니다.

예를 들어 <iframe> 내에서 TLS를 통해 전달된 문서의 경우에도 TLS를 통해 전달되지 않은 상위 항목이 있는 경우 해당 컨텍스트는 안전한 것으로 간주되지 않습니다.

그러나 비(非)보안 컨텍스트로 인해 새 창이 생성되는 경우(noopener를 지정하거나 지정하지 않고), 오프너가 안전하지 않다는 사실은 새 창이 안전한 것으로 간주되는것에 영향을 미치지 않는다는 점에 유의해야 합니다. 특정 문서가 보안 컨텍스트에 있는지 여부를 결정하는 것은 비보안 컨텍스트가 문서를 만들었는지가 아니라 연결된 최상위 브라우징 컨텍스트 내에서만 고려하기 때문입니다.

http://127.0.0.1 URL, http://localhost 및 http://*.localhost URL(예: http://dev.whatever.localhost/) 그리고 file://과 같은 로컬에서 제공된 리소스도 안전하게 전달된 것으로 간주됩니다.

로컬이 아닌 리소스가 안전한 것으로 간주되려면 다음 기준을 충족해야 합니다.

• https:// 또는 wss:// URL을 통해 제공되어야 한다.
• 리소스를 전달하는 데 사용되는 네트워크 채널의 보안 속성이 더 이상 사용되지 않는(deprecated) 것이 아니어야 한다.

페이지는 전역 스코프에 있는 isSecureContext 불리언 값을 사용하여 보안 컨텍스트에 있는지 여부를 확인하기 위해 기능 감지를 사용할 수 있습니다.

if (window.isSecureContext) {
  // 페이지는 보안 컨텍스트이므로 이제 서비스 워커를 사용할 수 있습니다.
  navigator.serviceWorker.register("/offline-worker.js").then(() => {
    // …
  });
}

• 보안 컨텍스트로 제한된 플랫폼 기능 — 보안 컨텍스트에서만 사용할 수 있는 기능 목록
• isSecureContext
• https://permission.site — HTTP 및 HTTPS를 통해 브라우저가 사용하는 API 권한 검사를 확인할 수 있는 사이트
• Strict-Transport-Security HTTP 헤더