Директива HTTP Content-Security-Policy (CSP) trusted-types Экспериментально инструктирует пользовательские агенты ограничить создание политик Trusted Types — функций, создающих несфальсифицированные, типизированные значения, предназначенные для передачи в DOM-уязвимости к XSS вместо строк.

Вместе с директивой require-trusted-types-for это позволяет авторам определять правила, которые защищают запись значений в DOM, тем самым уменьшая область уязвимости к DOM-XSS до небольших, изолированных частей кода веб-приложения, что облегчает их мониторинг и код-ревью. Эта директива объявляет список разрешенных имён политик Trusted Types, созданных с помощью trustedTypes.createPolicy из API Trusted Types.

Content-Security-Policy: trusted-types;
Content-Security-Policy: trusted-types 'none';
Content-Security-Policy: trusted-types <policyName>;
Content-Security-Policy: trusted-types <policyName> <policyName> 'allow-duplicates';

// Content-Security-Policy: trusted-types foo bar 'allow-duplicates';

if (typeof trustedTypes !== 'undefined') {
  const policyFoo = trustedTypes.createPolicy('foo', {});
  const policyFoo2 = trustedTypes.createPolicy('foo', {});
  const policyBaz = trustedTypes.createPolicy('baz', {}); // Throws and dispatches a SecurityPolicyViolationEvent.
}