HTTP-заголовок Cross-Origin-Embedder-Policy-Report-Only (COEP) заголовок ответа задаёт политику только для отчётов текущего документа для загрузки и встраивания ресурсов из других источников, запрошенных в режиме no-cors.

Этот заголовок позволяет администраторам сайтов получать отчёты о ресурсах, которые были бы заблокированы политикой Cross-Origin-Embedder-Policy, не препятствуя их загрузке. Это позволяет постепенно вводить принудительное применение политики.

О нарушениях политики можно сообщать с помощью Reporting API. Отчёты можно отслеживать на странице, для которой задана политика, с помощью ReportingObserver, а также отправлять на конечные точки сервера, указанные в заголовке HTTP-ответа Reporting-Endpoints и выбранные с помощью параметра report-to. Дополнительные сведения см. в разделе COEPViolationReport.

Синтаксис

Cross-Origin-Embedder-Policy-Report-Only: <token>; <parameter>

Директивы

Заголовок следует задавать только с одним токеном и конечной точкой report-to.

Повторное задание заголовка или указание нескольких токенов равносильно заданию unsafe-none. Если не указать report-to, заголовок фактически не будет действовать.

Значение <token> может быть одним из следующих:

unsafe-none

Разрешает документу загружать ресурсы из других источников, запрошенные в режиме no-cors, не требуя явного разрешения через заголовок Cross-Origin-Resource-Policy. Это значение используется по умолчанию.

require-corp

Документ может загружать ресурсы, запрошенные в режиме no-cors, только с того же источника или ресурсы, для которых явно задан заголовок Cross-Origin-Resource-Policy со значением, разрешающим встраивание.

COEP блокирует загрузку ресурсов из других источников, если не выполняется одно из следующих условий:

• Ресурс запрошен в режиме no-cors, а ответ содержит заголовок Cross-Origin-Resource-Policy, разрешающий загрузку в источник документа.
• Ресурс запрошен в режиме cors, например в HTML с помощью атрибута crossorigin или в JavaScript путём выполнения запроса с параметром {mode="cors"}. Обратите внимание: запросы в режиме cors не блокируются COEP и не вызывают нарушений COEP, но для них всё равно требуется разрешение CORS.

credentialless

Документ может загружать ресурсы из других источников, запрошенные в режиме no-cors, не требуя явного разрешения через заголовок Cross-Origin-Resource-Policy. В этом случае запросы отправляются без учётных данных: файлы cookie не включаются в запрос и игнорируются в ответе.

Загрузка ресурсов из других источников в остальных режимах запроса работает так же, как и при значении require-corp. Например, для ресурса из другого источника, запрошенного в режиме cors, требуется поддержка CORS и разрешение CORS.

Значение <parameter> необязательно; оно может быть одним из следующих:

report-to <endpoint_name> Необязательно

Значение <endpoint_name> — это имя конечной точки, на которую будут отправляться отчёты о нарушениях политики. Соответствие имени конкретной конечной точке задаётся отдельно в заголовке HTTP Reporting-Endpoints.

Спецификации

Совместимость с браузерами

См. также

• Cross-Origin-Embedder-Policy
• Cross-Origin-Opener-Policy
• Window.crossOriginIsolated и WorkerGlobalScope.crossOriginIsolated
• ReportingObserver
• COEPViolationReport
• Reporting API
• Политика открытия между источниками в статье Почему для мощных функций требуется «изоляция между источниками» на web.dev (2020)
• COOP и COEP: объяснение от Артура Янца, Чарли Рейса и Анне ван Кестерена (2020)