AZ Tools

Constructor de Cabecera Permissions-Policy

Red

La cabecera Permissions-Policy es el reemplazo moderno para Feature-Policy: le dice al navegador qué funciones tu página y sus iframes están permitidos a usar. Elige cada función una a la vez y elige si está bloqueada completamente, permitida solo para el mismo origen, permitida para cualquier origen, o limitada a una lista personalizada. La herramienta etiqueta las funciones bien conocidas (cámara, micrófono, geolocalización, pago, USB, etc.) por categoría así no te pierdes la que te muerde. Las advertencias atrapan defaults inseguros — wildcards que entregan la función a cada origen incrustado, listas personalizadas que faltan un esquema.

—
Presets
Sensores
  • accelerometer
    Leer acelerómetro
  • gyroscope
    Leer giroscopio
  • magnetometer
    Leer magnetómetro
  • ambient-light-sensor
    Leer luz ambiental
Captura de media
  • camera
    Usar la cámara del usuario
  • microphone
    Usar el micrófono del usuario
  • autoplay
    Autoplay media
  • display-capture
    Compartir pantalla vía getDisplayMedia
  • speaker-selection
    Elegir dispositivo de audio de salida
Pago & auth
  • payment
    Usar la API Payment Request
  • publickey-credentials-get
    Usar WebAuthn
Pantalla
  • fullscreen
    Ir a pantalla completa programáticamente
  • picture-in-picture
    Abrir video PIP
  • screen-wake-lock
    Mantener la pantalla despierta
  • xr-spatial-tracking
    Usar tracking espacial WebXR
Otros
  • geolocation
    Leer ubicación del usuario
  • clipboard-read
    Leer contenido del portapapeles
  • clipboard-write
    Escribir al portapapeles
  • usb
    Usar Web USB
  • serial
    Usar Web Serial
  • bluetooth
    Usar Web Bluetooth
  • idle-detection
    Detectar usuario idle
  • midi
    Usar Web MIDI
  • web-share
    Usar la API Web Share
Cabecera de respuesta
Permissions-Policy: autoplay=(self), fullscreen=(self), picture-in-picture=(self), clipboard-write=(self), web-share=(self)

Aplica en cada respuesta HTML. Usa Report-To + la directiva `report-uri` (no construida aquí) si quieres que los navegadores envíen violaciones de vuelta a un colector.

Cómo usar

  1. Empieza con el preset estricto (todo apagado) y enciende solo lo que tu página realmente necesita.
  2. `self` es la respuesta correcta para la mayoría de funciones a nivel de página. `*` rara vez es la respuesta correcta — deja que cada iframe use la función.
  3. Modo personalizado toma una allowlist de orígenes (`https://embed.example.com https://other.com`). `self` y `*` son tokens, cualquier otra cosa necesita el origen completo.

Preguntas frecuentes

¿Permissions-Policy vs Feature-Policy?
Misma idea, nueva sintaxis. Feature-Policy usaba una lista separada por espacios de orígenes por directiva; Permissions-Policy usa cabeceras estructuradas `feature=(origin1 origin2)`. Los navegadores honran Permissions-Policy ahora; sirve ambas durante la ventana de transición si soportas navegadores viejos.
¿Por qué es riesgoso el wildcard `*`?
El wildcard entrega la función a cada iframe anidado — incluyendo incrustaciones de terceros que no confías completamente. Si un compromiso de malvertising o cadena de suministro inyecta un iframe, `*` es la diferencia entre 'pueden espiar con la cámara' y 'no pueden'.

Herramientas relacionadas

Inspector de Dirección IP

Escribe una dirección IPv4 o IPv6 y ve su clase, scope (privada / pública / loopback / link-local), valor decimal, binario, notación reverse-DNS y CIDR /32.

Red00

Referencia de Puertos

Cheat sheet buscable de ~60 puertos TCP / UDP estándar — desde 22 (SSH) y 80 (HTTP) hasta 6379 (Redis) y 27017 (MongoDB).

Red00

Referencia de Registros DNS

Hoja de referencia buscable de tipos de registro DNS — A, AAAA, CNAME, MX, TXT, NS, SOA, PTR, SRV, CAA, DNSSEC, SVCB / HTTPS — con ejemplos.

Red00

Calculadora de Subred (IPv4 / CIDR)

Parsea CIDR IPv4 en dirección de red, broadcast, netmask, wildcard, rango de hosts y clase. Muestra desglose binario y estado privado/público.

Red00

Parser de User Agent

Parsea string User-Agent en navegador, engine, OS, dispositivo y CPU. Detecta 20+ bots incluyendo GPTBot, ClaudeBot, PerplexityBot.

Red00

Referencia de Códigos de Estado HTTP

Lista buscable de todos los códigos HTTP (1xx-5xx) con resumen, RFC, cuándo usar y trampas frecuentes.

Red00