Feature-Policy

HTTP の Feature-Policy ヘッダーは、自身のフレームまたはその中の iframe で、ブラウザーの機能を使用することを許可または拒否する仕組みを提供します。

詳しくは、機能ポリシーの記事を参照してください。

構文

Feature-Policy: <directive> <allowlist>

<allowlist>

許可リストは、以下の値のうち一つを取るオリジンのリストです。

• *: この機能は既定で、最上位の閲覧コンテキストと、含まれるすべての閲覧コンテキスト (iframe) で許可されます。
• 'self': (既定値) この機能は既定で、最上位の閲覧コンテキストと、含まれる同じオリジンの閲覧コンテキスト (iframe) で許可されます。この機能は、含まれる閲覧コンテキストにある別なオリジンの文書では許可されません。
• 'none': この機能は最上位および含まれる閲覧コンテキストで無効になります。
• <origin(s)>: この機能は特定のオリジン (例えば、 https://example.com) で許可されます。オリジンは空白で区切ってください。

* の値 (すべてのオリジンで有効) または 'none' (すべてのオリジンで無効) は単独でのみ使用できますが、 'self' は一つ以上のオリジンと一緒に使用することができます。

ディレクティブ

autoplay

現在の文書で HTMLMediaElement インターフェイスによってメディアの自動再生をリクエストすることを許可するかどうかを制御します。このポリシーが有効であれば、 HTMLMediaElement.play() から返却された Promise が DOMException で拒否されます。 <audio> および <video> 要素の autoplay 属性は無視されます。

camera

現在の文書が動画入力機器を使用することを許可するかどうかを制御します。このポリシーが有効であれば、 MediaDevices.getUserMedia() から返却された Promise が NotAllowedError で拒否されます。

encrypted-media

現在の文書が Encrypted Media Extensions API (EME) を使用することを許可するかどうかを制御します。このポリシーが有効であれば、 Navigator.requestMediaKeySystemAccess() から返却された Promise が DOMException で拒否されます。

fullscreen

現在の文書が Element.requestFullScreen() を使用することを許可するかどうかを制御します。このポリシーが有効であれば、返却された Promise が TypeError で拒否されます。

geolocation

現在の文書が Geolocation インターフェイスを使用することを許可するかどうかを制御します。このポリシーが有効であれば、 getCurrentPosition() および watchPosition() を呼び出すと、関数のコールバックが呼び出され、 PositionError コードが PERMISSION_DENIED になります。

microphone

現在の文書がオーディオ入力端末を使用することを許可するかどうかを制御します。このポリシーが有効であれば、 MediaDevices.getUserMedia() で返却された Promise が NotAllowedError で拒否されます。

midi

現在の文書が Web MIDI API を使用することを許可するかどうかを制御します。このポリシーが有効であれば、 Navigator.requestMIDIAccess() から返却された Promise が DOMException で拒否されます。

payment

現在の文書が Payment Request API を使用することを許可するかどうかを制御します。このポリシーが有効であれば、 PaymentRequest() コンストラクターが SecurityError 例外を投げます。

vr

現在の文書が WebVR API を使用することを許可するかどうかを制御します。このポリシーが有効であれば、 Navigator.getVRDisplays() から返却された Promise が DOMException で拒否されます。

例

SecureCorp Inc. が、アプリケーションでバイブレーションと Geolocation API を無効にしたがっているとします。以下の機能ポリシーを設定する HTTP レスポンスヘッダーを配信することで実現できます。

Feature-Policy: vibrate 'none'; geolocation 'none'

オリジンのリストに 'none' キーワードを指定すると、指定された機能がオリジンに関係なく、すべての閲覧コンテキストで無効になります。

仕様

ブラウザーの対応

このページの互換性一覧表は構造化データから生成されています。データに協力していただけるのであれば https://github.com/mdn/browser-compat-data をチェックアウトしてプルリクエストを送信してください。

あわせて参照

• 機能ポリシー
• 機能ポリシーの使用
• Content-Security-Policy
• Referrer-Policy