Firefox 90 oferece suporte a Fetch Metadata Request Headers

• Aplicações web podem se proteger contra ataques cross-site como CSRF, XS-Leaks e Spectre

• Envia por padrão os cabeçalhos Fetch Metadata que começam com Sec-Fetch-*, permitindo que o lado do servidor diferencie as requisições

→ Sec-Fetch-Site : same-origin, same-site, cross-site, none

→ Sec-Fetch-Mode : cors, navigate, no-cors, same-origin, websocket

→ Sec-Fetch-User : ?0 ou ?1

→ Sec-Fetch-Dest : audio, audioworklet, document, embed, empty, font, image, manifest, object, paintworklet, report, script, serviceworker, sharedworker, style, track, video, worker, xslt

• CSRF : Cross-Site Request Forgery

• XS-Leaks : Cross-Site Leaks

• Spectre : Speculative Cross-site Execution Side Channel

[xguru]

Fetch Metadata Request Headers está no estágio de Working Draft do W3C

• https://www.w3.org/TR/fetch-metadata/

• Proteja seus recursos contra ataques da web com Fetch Metadata https://web.dev/fetch-metadata/

O Chrome e os navegadores baseados em Chromium oferecem suporte para todos os casos — desktop/Android/WebView — desde a versão 76.

• https://www.chromestatus.com/feature/5155867204780032

Exceto pelo IE (6~11) e pelo Safari (macOS/iOS), é possível aplicar na maioria dos casos.

• https://caniuse.com/?search=sec-fetch