Un périmètre explicite
Une exécution commence avec une URL et au moins une origine permise. Le serveur refuse les cibles mal formées, les identifiants dans l'URL et les réseaux privés ou locaux par défaut. Le travailleur répète la politique pour les requêtes, redirections et sous-ressources.
Cette double validation importe puisque le navigateur utilise le réseau du travailleur.
Classifier avant d'agir
L'explorateur classe les contrôles comme sûrs, différés, bloqués ou non pris en charge. La navigation de même origine avance. Les envois, téléversements, actions destructrices, achats, approbations et origines externes n'avancent pas.
Préserver les observations et l'incertitude
États de page, captures, accessibilité, contrôles visibles et arêtes enregistrent la preuve. Les règles restent candidates. Les obstacles d'authentification et changements d'interface deviennent du travail bloqué.
La mutation est un autre mode
Un mode de mutation bac à sable existe pour les utilisateurs de confiance et les données jetables. Il est optionnel, séquentiel, audité et inadapté aux données de production.