An <iframe> tembed dokument HTML ieħor fil-paġna tiegħek (mappa, vidjow, widget ta' pagament, jew kontenut ta' utent li ma tassettaix). Minħabba li l-paġna tembed tista' tħaddem script tal-kont tagħha, l-atribut sandbox huwa ewlieni biex tembed b'mod sigur.
sandbox mingħajr valur tapplika massimu restrizzjonijiet: l-ebda script, l-ebda formuli, l-ebda pop-up, ittrattar il-kontenut bħala oriġini unika. Imbagħad tħedded mill-ġdid l-abbiltajiet bl-elenkar ta' tokens:
<iframe sandbox></iframe> <!-- locked down: scripts disabled, etc. -->
<iframe sandbox="allow-scripts allow-forms allow-popups"></iframe>
Tokens komuni:
allow-scripts — ħallih jħaddem JavaScript.allow-forms — ħallih jissottoskrivi formuli.allow-same-origin — żomm l-oriġini tiegħu (mingħajr dan huwa oriġini nulla, ta' blokk tal-ħażna/cookies).allow-popups, allow-modals, allow-top-navigation.Nota dwar is-sigurezza: li tgħaqqad allow-scripts u allow-same-origin tħalli l-qafas ixanqal il-sandbox ta' tiegħu innifsu jekk ikun ta' nies l-istess - evita din il-kombinazzjoni għal kontenut li ma tassettaix.
<iframe
referrerpolicy="no-referrer"
allow="camera 'none'; geolocation 'none'"
></iframe>
Iframes tembed kontenut ta' terzi jew ipproduċi mill-utent li inti ma tikontrollax u m'għandekx tikkonfia pienamente. sandbox (irdħiex-b'mod-default, ħalli biss x'hi meħtieġa) flimkien ma' referrerpolicy/allow iħallik tħassar il-kontenut dak - ti evita l-ħaddem ta' scripts mhux mixtieqa, in-navigazzjoni tal-paġna tiegħek, jew it-tħassil ta' karatteristiċi tas-sistema.
Iżżid title għall-aċċessibilità u loading="lazy" għall-prestazzjoni.