Teste de origem das listas de permissões de conexão: proteja a rede do seu aplicativo da Web

José Luis Zapata

Publicado em 16 de abril de 2026

Como os aplicativos da Web estão se tornando mais complexos, especialmente com o aumento da IA generativa integrada, a proteção dos dados do usuário é uma prioridade máxima. É por isso que estamos anunciando o teste de origem das listas de permissões de conexão, um novo mecanismo de segurança que cria um sandbox de rede para documentos e workers.

Contexto

Em um ecossistema da Web moderno, os dados sensíveis se movem constantemente entre clientes e servidores. Essa mobilidade, combinada com uma cadeia de suprimentos complexa de scripts de terceiros e o aumento do código gerado dinamicamente pela IA generativa, aumenta significativamente o risco de exfiltração de dados.

Scripts maliciosos, vulnerabilidades em bibliotecas agrupadas ou comportamentos não intencionais em códigos gerados por IA generativa podem ignorar as verificações no nível do aplicativo para enviar informações sensíveis a endpoints não autorizados. Embora a Política de Segurança de Conteúdo (CSP) seja uma ferramenta poderosa para controlar o que uma página pode carregar e executar, gerenciar a complexidade dela para restringir especificamente onde uma página se comunica pode ser desafiador. Isso geralmente leva a políticas amplas que deixam espaço para atividades de rede não autorizadas.

Sandbox das listas de permissões de conexão

As listas de permissões de conexão oferecem um método direto para lidar com esses riscos, tornando o navegador o gatekeeper de todas as conexões de rede originadas da sua página. Ao incluir o cabeçalho de resposta HTTP Connection-Allowlist, um site especifica os padrões de URL exatos permitidos para toda a comunicação de rede iniciada pelo contexto, como um documento ou um worker da Web.

Esse recurso aplica um firewall "negar por padrão" no nível do framework. Antes que qualquer conexão seja estabelecida, por exemplo, uma busca de subrecursos, um redirecionamento de navegação ou uma conexão WebSocket, o navegador verifica o destino na lista de permissões. Se o endpoint não corresponder, o navegador vai bloquear a conexão no nível da rede. O navegador mantém os limites de rede mesmo que um código malicioso tente ignorar a lógica no nível do aplicativo.

Como as listas de permissões de conexão funcionam

Antes que qualquer conexão seja estabelecida, por exemplo, uma busca de subrecursos, um redirecionamento de navegação ou uma conexão WebSocket, o navegador verifica o destino na lista de permissões. Se o endpoint não corresponder, o navegador vai bloquear a conexão no nível da rede. Isso garante que os limites de rede sejam mantidos mesmo que um código malicioso tente ignorar a lógica no nível do aplicativo.

Usar o token `response-origin`

É possível usar o token response-origin, que adiciona dinamicamente a origem de onde a resposta é veiculada à lista de permissões:

Connection-Allowlist: ("https://api.example.com/*" response-origin)

Neste exemplo, a página pode se conectar a qualquer caminho na origem e no endpoint de API especificado.

Informar violações

Para monitorar possíveis problemas sem interromper a funcionalidade do seu site, use o cabeçalho Connection-Allowlist-Report-Only. Essa variante analisa a política e envia relatórios de violação a um endpoint especificado usando a API Reporting.

Connection-Allowlist: ("https://trusted.com/*"); report-to=security-endpoint

Principais casos de uso

As listas de permissões de conexão são úteis para ambientes dinâmicos ou de alta segurança:

IA generativa e código não confiável:se o site permitir que os usuários executem códigos gerados ou não confiáveis, por exemplo, no Sheets Canvas ou em sandboxes de desenvolvimento, as listas de permissões de conexão podem impedir que o código exfiltre dados para domínios externos.
Supervisão de terceiros:é possível garantir que, mesmo que um script de terceiros seja comprometido, ele não possa enviar dados a servidores não autorizados.
Proteções arquitetônicas:aplique um limite de rede rigoroso para partes sensíveis do aplicativo, garantindo a comunicação apenas com back-ends aprovados.

Diferenças da Política de Segurança de Conteúdo

Embora as listas de permissões de conexão e a CSP tenham objetivos semelhantes, elas são complementares:

Foco no nível da rede:as listas de permissões de conexão se concentram no destino das conexões de rede, em vez de como um recurso é carregado ou executado.
Cobertura abrangente:abrange navegações, redirecionamentos e várias APIs da plataforma da Web, por exemplo, busca, WebRTC, WebTransport, pré-busca de DNS e pré-carregamento, de maneira unificada.
Sintaxe simplificada:as listas de permissões de conexão se concentram em uma única tarefa, o que simplifica a configuração e a auditoria de segurança.

Fazer um experimento com as listas de permissões de conexão

O recurso de listas de permissões de conexão está disponível para testes locais. O teste de origem está programado para ser executado do Chrome 148 ao Chrome 151. A funcionalidade continua sendo adicionada à medida que o teste de origem avança. No início desse teste, a funcionalidade de relatórios é limitada a contextos de documentos. Workers dedicados, compartilhados e de serviço não são compatíveis. Mais detalhes sobre o que é compatível estão na seção Inscrever-se no teste de origem.

Testar localmente

Ative a flag: abra o Chrome e acesse chrome://flags/#connection-allowlist. Defina a flag como Ativada.
Implante o cabeçalho: configure seu servidor de desenvolvimento local para enviar o cabeçalho de resposta HTTP Connection-Allowlist. Por exemplo, Connection-Allowlist: ("https://api.example.com/*" response-origin).
Verifique com o DevTools: abra o Chrome DevTools e execute ações que acionam solicitações de rede.
- Painel Rede: verifique se há solicitações que estão "bloqueadas:outras" ou mostram um erro de conexão.
- Guia Problemas: procure relatórios detalhados se houver erros de análise no cabeçalho.

Inscrever-se no teste de origem

Embora os testes locais sejam ótimos para o desenvolvimento, você precisará se inscrever no teste de origem para ativar as listas de permissões de conexão para seus usuários em produção.

Acesse o painel de testes de origem do Chrome.
Encontre o teste de origem das listas de permissões de conexão e clique em Inscrever-se.
Adicione o token gerado às páginas ou cabeçalhos do seu site, conforme descrito no guia Introdução aos testes de origem.

O teste de origem está programado para ser executado do Chrome 148 ao Chrome 151. A funcionalidade continua sendo adicionada à medida que o teste de origem avança. Por isso, recomendamos que você continue usando seus mecanismos de segurança da Web atuais ao testar as listas de permissões de conexão. A intenção de experimentar detalha ainda mais os endpoints de rede cobertos pela implementação das listas de permissões de conexão.

Enviar feedback

Envie feedback sobre o design e a utilidade do recurso. Se você encontrar problemas ou tiver sugestões de melhorias, entre em contato com a equipe:

GitHub: abra um problema ou comente um já existente no WICG/connection-allowlists repositório.
Rastreador de bugs do Chromium: Crie um problema no rastreador de bugs do Chromium.

Teste de origem das listas de permissões de conexão: proteja a rede do seu aplicativo da Web Mantenha tudo organizado com as coleções Salve e categorize o conteúdo com base nas suas preferências.