Capítulo 9 Seguridad web y aislamiento de clientes

9.1 Amenazas

• XSS, inyección DOM, scripts de cadena de suministro, clickjacking y ataques de reparación de UI.
• Inyección rápida o engaño en la interfaz de usuario para que los usuarios revelen enlaces o secretos.
• Robo de tokens mediante almacenamiento inseguro o fuga de referencias.

9.2 Aislamiento de página

• Las páginas confidenciales (descargar/descifrar) DEBEN evitar scripts de terceros y minimizar las dependencias.
• El aislamiento entre orígenes PUEDE usarse cuando sea necesario para funciones de rendimiento/seguridad, pero DEBE seguir siendo compatible.
• Las páginas DEBEN aplicar políticas de referencia estrictas para evitar la filtración de URL.

9.3 Defensas contra inyecciones/protección contra abuso de UI

• Todas las entradas que no sean de confianza DEBEN escaparse/desinfectarse antes de insertarse en el DOM.
• No muestre HTML que no sea de confianza. Prefiere la representación de texto y las plantillas seguras.
• Cuando existan nombres/metadatos controlados por el usuario, aplique restricciones de longitud y caracteres.

9.4 Encabezados de seguridad y políticas del navegador

9.5 Evidencias verificables

• Los enlaces públicos a informes de terceros se agregan en /status.
• La evidencia se centra en la postura básica de seguridad web (TLS, encabezados); Las reclamaciones de conocimiento cero a nivel de protocolo están respaldadas por restricciones de diseño e ID de reclamación.