이번 소식
WebKit main에 Document-Isolation-Policy 보안 헤더의 초기 구현이 병합됐습니다. 문서가 불러오는 외부 리소스의 허용 조건을 검사하는 단계이며, 완전한 교차 출처 격리나 Safari 정식 지원 발표는 아닙니다.
달라진 점
isolate-and-require-corp 값을 읽고, 다른 출처에서 가져오는 no-cors 응답에 Cross-Origin-Resource-Policy(CORP) 헤더를 요구합니다. CORP는 응답을 다른 출처에서 사용할 수 있는 조건을 나타내는 헤더입니다.
검사는 네트워크 응답뿐 아니라 메모리 캐시, 서비스 워커 응답과 Cache API에도 적용됩니다. 탐색은 검사 대상이 아니므로 다른 출처의 iframe을 넣는 데 이 정책의 CORP 조건을 적용하지 않습니다.
어떤 점이 달라지나요?
브라우저 보안·리소스 로딩을 다루는 개발자는 새 헤더가 외부 리소스 처리에 미치는 영향을 시험할 기반을 얻습니다. 동작하려면 보안 컨텍스트에서 사이트 격리와 실험 설정을 함께 켜야 합니다. DocumentIsolationPolicyEnabled 설정의 기본값은 false입니다.
isolate-and-credentialless, Report-Only, 위반 보고는 아직 지원하지 않습니다. 에이전트 클러스터 키 지정과 교차 출처 격리 구현도 남아 있습니다. 따라서 이 변경만으로 격리가 완성되거나 모든 Safari 이용자에게 보안 기능이 적용됐다고 볼 수 없습니다.
변경 병합 시각(KST): 2026년 10월 6일 03:23:05 · 공식 PR의 main 병합 기준입니다. 정식 배포 버전은 확인되지 않았으며, 이번 조사에서 브라우저 실행 시험은 하지 않았습니다.
새 글 받아보기
RSS 리더에서 BlogFlow의 새 글을 확인할 수 있습니다.