Revision 697: Die Sanitizer API, mit Frederik Braun

In dieser Folge sprechen wir mit Frederik Braun (frederik-braun.com) (Mastodon (social.security.plumbing/@freddy)) aus dem Firefox-Security-Team bei Mozilla (mozilla.org) über den langen Weg der Sanitizer API: Von ersten Prototypen vor über fünf Jahren bis zum geplanten Shipping in Firefox und Chrome im Februar 2026 (developer.mozilla.org/en-US/docs/Web/API/HTML_…).

Schaunotizen

[00:01:08] Die Sanitizer API (developer.mozilla.org/en-US/docs/Web/API/HTML_…)
Einleitend klären wir, warum Cross-Site-Scripting (en.wikipedia.org/wiki/Cross-site_scripting) (XSS) auch 2026 noch eines der größten Web-Security-Probleme ist, weshalb bestehende Lösungen wie github.com/cure53/DOMPurify, Content Security Policy (developer.mozilla.org/en-US/docs/Web/HTTP/CSP) oder Trusted Types (developer.mozilla.org/en-US/docs/Web/API/Trust…) zwar helfen, aber kaum breit eingesetzt werden – und dass die Sanitizer API einen neuen, deutlich praxisnäheren Ansatz verfolgt.Die Sanitizer API (developer.mozilla.org/en-US/docs/Web/API/HTML_…) ist ein neuer Web-Standard, mit dem sich unsicheres HTML direkt beim Einfügen in den DOM bereinigen lässt – ohne String-Roundtrips und ohne zusätzliche Bibliotheken. Statt Element.innerHTML = html wird künftig Element.setHTML(html) (developer.mozilla.org/en-US/docs/Web/API/Eleme…) verwendet. Der Browser übernimmt Parsing, Bereinigung und Einfügen in einem Schritt und verhindert zuverlässig Cross-Site-Scripting, DOM-Clobbering und viele Varianten von Mutated-XSS.

Links

Revision 447: XSS und die HTML Sanitizer API (workingdraft.de/447)
Die eingangs erwähnte, mittlerweile fünfeinhalb Jahre alte Folge mit Frederik, in der XSS und die ursprüngliche Idee der Sanitizer API bereits ausführlich besprochen wurden.
Revision 452: CORS, CORP, (C)ORB, COOP und COEP (workingdraft.de/447)
Eine weitere Folge mit Security-Fokus, nämlich zu diversen sicherheitsrelevanten HTTP-Headern, ebenfalls mit Frederik.
Revision 514: ASTs, Linter und Security mit Frederik Braun (workingdraft.de/514)
In dieser Revision reden sprechen wir mit Frederik über Abstract Syntax Trees, Lexer und Parser. Und natürlich Security!
DOM Clobbering (portswigger.net/web-security/dom-based/dom-clo…)
Angriffstechnik, bei der HTML-IDs oder Names bestehende JavaScript-Objekte überschreiben und so Logikfehler oder Sicherheitslücken auslösen. Höre dazu auch Revision 202: Sicherheitslücken – DOM Clobbering, XSS via CSS, ES6 Fallen (workingdraft.de/202).
Interop-Projekt (web.dev/interop)
Browser-übergreifende Initiative zur Angleichung von Web-Plattform-Features, potenziell relevant für Trusted Types in zukünftigen Iterationen.

Diskutiert die Folge mit uns in unserem Community-Slack: draft.community