<iframe>: Элемент встраиваемой страницы

Этот элемент включает глобальные атрибуты.

allow

Устанавливает Политику разрешений для <iframe>. Политика определяет, какие функции доступны <iframe> (например, доступ к микрофону, камере, батарее, web-share и т. д.) на основе источника запроса.

См. iframes в разделе Permissions-Policy для примеров.

Примечание: Политика разрешений, указанная атрибутом allow , реализует дополнительное ограничение поверх политики, указанной в заголовке Permissions-Policy. Она не заменяет её.

allowfullscreen

Устанавливается в true , если <iframe> может активировать полноэкранный режим, вызвав метод requestFullscreen().

Примечание: Этот атрибут считается устаревшим атрибутом и переопределен как allow="fullscreen".

allowpaymentrequest Устаревший Нестандартный

Устанавливается в true , если разрешено выполнение <iframe> API запроса оплаты в кросс-доменном режиме, для вызова API запроса оплаты.

Примечание: Этот атрибут считается устаревшим атрибутом и переопределен как allow="payment".

browsingtopics Экспериментальный Нестандартный

Булевый атрибут, который, если присутствует, указывает, что выбранные темы для текущего пользователя должны быть отправлены с запросом на источник <iframe>. Дополнительные сведения см. в разделе Использование API тем.

credentialless Экспериментальный

Устанавливается в true , чтобы сделать <iframe> без авторизации, что означает, что его содержимое будет загружено в новый, эфемерный контекст. Он не имеет доступа к сети, cookie и данным хранилища, связанным с его происхождением. Он использует новый контекст, локальный для времени жизни документа верхнего уровня. Взамен можно снять правила встраивания Cross-Origin-Embedder-Policy (COEP), поэтому документы с установленным COEP могут встраивать сторонние документы, которые этого не делают. Более подробную информацию см. в разделе IFrame без авторизации.

csp Экспериментальный

Применяемая Политика безопасности содержимого для встроенного ресурса. Подробнее см. HTMLIFrameElement.csp.

height

Высота фрейма в пикселях CSS. По умолчанию 150.

loading

Указывает, когда браузер должен загрузить iframe:

eager

Загрузить iframe сразу при загрузке страницы (это значение по умолчанию).

lazy

Отложить загрузку iframe до тех пор, пока он не достигнет рассчитанного расстояния от визуального области просмотра, как определено браузером. Цель состоит в том, чтобы избежать использования пропускной способности сети и хранилища для извлечения фрейма до тех пор, пока браузер не будет уверен, что он будет нужен. Это повышает производительность и снижает затраты в большинстве типичных случаев использования, особенно за счет сокращения начального времени загрузки страницы.

Примечание: Загрузка откладывается только при включенном JavaScript. Это мера против отслеживания.

name

Идентифицируемое имя встроенного контекста просмотра. Это можно использовать в атрибуте target элементов <a>, <form> или <base>; атрибуте formtarget элементов <input> или <button>; или параметре windowName в методе window.open().

referrerpolicy

Указывает, какой referrer отправлять при получении ресурса фрейма:

no-referrer

Заголовок Referer не будет отправлен.

no-referrer-when-downgrade

Заголовок Referer не будет отправлен в источники без TLS (HTTPS).

origin

Отправляемый referrer будет ограничен источником страницы, которая ссылается на неё: её схемой, хостом и портом.

origin-when-cross-origin

Referrer, отправленный в другие источники, будет ограничен схемой, хостом и портом. Переходы в том же источнике всё равно будут включать путь.

same-origin

Referrer будет отправлен для того же источника, но кросс-доменные запросы не будут содержать информации referrer.

strict-origin

Отправлять только происхождение документа в качестве referrer, когда уровень безопасности протокола остаётся прежним (HTTPS→HTTPS), но не отправлять его в менее безопасные пункты назначения (HTTPS→HTTP).

strict-origin-when-cross-origin (по умолчанию)

Отправлять полный URL при выполнении запроса одного источника, отправлять только источник, когда уровень безопасности протокола остаётся прежним (HTTPS→HTTPS), и не отправлять заголовок в менее безопасные пункты назначения (HTTPS→HTTP).

unsafe-url

Referrer будет включать происхождение и путь (но не фрагмент, пароль или имя пользователя). Это значение небезопасно, так как оно утекает происхождения и пути из защищённых TLS ресурсов в небезопасные источники.

sandbox

Управляет ограничениями, применяемыми к содержимому, встроенному в <iframe>. Значение атрибута может быть пустым для применения всех ограничений или содержать разделенные пробелами токены для снятия определенных ограничений:

allow-downloads

Разрешает загрузку файлов через элемент <a> или <area> с атрибутом download, а также через навигацию, которая приводит к загрузке файла. Это работает независимо от того, нажал ли пользователь на ссылку или код JavaScript инициировал загрузку без взаимодействия пользователя.

allow-forms

Разрешает отправку форм на странице. Если этот ключевой термин не используется, форма отображается как обычно, но при отправке она не вызовет валидации данных, не отправит данные на веб-сервер и не закроет диалоговое окно.

allow-modals

Разрешает открытие модальных окон с помощью Window.alert(), Window.confirm(), Window.print() и Window.prompt(), при этом открытие <dialog> разрешено независимо от этого ключевого слова. Также разрешается получение события BeforeUnloadEvent.

allow-orientation-lock

Разрешает ресурсу заблокировать ориентацию экрана.

allow-pointer-lock

Разрешает странице использовать API блокировки курсора.

allow-popups

Разрешает всплывающие окна (например, из Window.open(), target="_blank", Window.showModalDialog()). Если этот ключевой термин не используется, данная функциональность будет молчаливо отклоняться.

allow-popups-to-escape-sandbox

Разрешает заблокированному документу открывать новый контекст просмотра без принудительного применения флагов блокировки. Это позволит, например, безопасно заблокировать стороннюю рекламу без применения тех же ограничений к странице, на которую ведет ссылка рекламы. Если этот флаг не включён, перенаправленная страница, всплывающее окно или новая вкладка будут подчиняться тем же ограничениям блокировки, что и исходный <iframe>.

allow-presentation

Разрешает контейнерам встраивания контролировать возможность iframe запускать сеанс презентации презентации.

allow-same-origin

Если этот токен не используется, ресурс рассматривается как имеющий специальное происхождение, которое всегда отклоняет политику одинакового происхождения (что может препятствовать доступу к хранилищу данных/кукам и некоторым JavaScript-API).

allow-scripts

Разрешает странице запускать скрипты (но не создавать всплывающие окна). Если этот ключевой термин не используется, данная операция запрещена.

allow-storage-access-by-user-activation Экспериментальный

Разрешает документу, загруженному в <iframe>, использовать Storage Access API для запроса доступа к неразделенным кукам.

allow-top-navigation

Разрешает ресурсу перемещаться по контексту верхнего уровня просмотра (тому, что называется _top).

allow-top-navigation-by-user-activation

Разрешает ресурсу перемещаться по контексту верхнего уровня просмотра, но только при инициировании действием пользователя.

allow-top-navigation-to-custom-protocols

Разрешает навигацию по протоколам, отличным от http, встроенным в браузер или зарегистрированным веб-сайтом. Эта функция также активируется ключевым словом allow-popups или allow-top-navigation.

Примечание:

• Когда встроенный документ имеет то же происхождение, что и страница встраивания, настоятельно не рекомендуется использовать allow-scripts и allow-same-origin, так как это позволяет встроенному документу убрать атрибут sandbox — делая его не более защищенным, чем если бы атрибут sandbox вообще не использовался.
• Блокировка бесполезна, если злоумышленник может отображать содержимое вне заблокированного iframe — например, если пользователь открывает фрейм в новой вкладке. Такое содержимое также должно подаваться с отдельного происхождения, чтобы ограничить возможный ущерб.

Примечание: При переадресации пользователя, открытии всплывающего окна или открытии новой вкладки со страницы, встроенной в <iframe> с атрибутом sandbox, новый контекст просмотра подчиняется тем же ограничениям sandbox. Это может создать проблемы — например, если страница, встроенная в <iframe> без атрибута sandbox="allow-forms" или sandbox="allow-popups-to-escape-sandbox" на ней, открывает новый сайт в отдельной вкладке, отправка формы в этом новом контексте просмотра будет молчаливо отклонена.

src

URL страницы для встраивания. Используйте значение about:blank для встраивания пустой страницы, соответствующей политике одинакового происхождения. Также обратите внимание, что программное удаление атрибута src у <iframe> (например, через Element.removeAttribute()) приводит к загрузке about:blank во фрейме в Firefox (с версии 65), браузерах на основе Chromium и Safari/iOS.

Примечание: Страница about:blank использует URL страницы встраивания в качестве базового URL при разрешении любых относительных URL, таких как ссылки.

srcdoc

Встроенный HTML-код, переопределяющий атрибут src. Его содержимое должно соответствовать синтаксису полного HTML-документа, включая директиву doctype, <html>, <body> теги и т.д., хотя большинство из них можно опустить, оставив только содержимое тела. Этот документ будет иметь about:srcdoc в качестве расположения. Если браузер не поддерживает атрибут srcdoc, он будет использовать URL из атрибута src.

Примечание: Страница about:srcdoc использует URL страницы встраивания в качестве базового URL при разрешении любых относительных URL, таких как ссылки.

width

Ширина фрейма в пикселях CSS. По умолчанию 300.