unsafe-none

Это значение по умолчанию. Разрешает документу получать ресурсы из другого источника без явного разрешения через протокол CORS или заголовок Cross-Origin-Resource-Policy.

require-corp

Документ может загружать ресурсы только из того же источника или ресурсов, явно помеченных как загружаемые из другого источника. Если ресурс из другого источника поддерживает CORS, атрибут crossorigin или заголовок Cross-Origin-Resource-Policy должны использоваться для загрузки ресурса без блокировки COEP.

Вы можете получить доступ к определённым функциям, таким как объекты SharedArrayBuffer или Performance.now() с таймерами без ограничений, если у вашего документа есть заголовок COEP со значением require-corp.

Cross-Origin-Embedder-Policy: require-corp
Cross-Origin-Opener-Policy: same-origin

См. также заголовок Cross-Origin-Opener-Policy, который также необходимо установить.

Чтобы проверить, была ли успешно выполнена изоляция из другого источника, вы можете проверить свойство crossOriginIsolated, доступное для контекстов window и worker:

if (crossOriginIsolated) {
  // Post SharedArrayBuffer
} else {
  // Do something else
}

Если вы включили COEP с помощью require-corp и у вас есть ресурс из другого источника, который необходимо загрузить, он должен поддерживать CORS, и вы должны явно пометить ресурс как загружаемый из другого источника, чтобы избежать блокировки от COEP. Например, вы можете использовать атрибут crossorigin для этого изображения с сайта третьей стороны:

<img src="https://thirdparty.com/img.png" crossorigin />

• Cross-Origin-Opener-Policy