Почему это риск
Без Permissions-Policy встроенные iframe (реклама, виджеты) могут запрашивать доступ к камере, микрофону и геолокации пользователя. Это прямой риск приватности, а также вектор для social engineering (fake system prompt).
Как исправить
Шаг 1
Nginx: add_header Permissions-Policy "camera=(), microphone=(), geolocation=(), payment=()" always;
Шаг 2
Значение () запрещает API полностью
Шаг 3
self разрешает только для вашего домена
Шаг 4
https://trusted.example.com — для конкретного домена
Шаг 5
Разрешите только те API, которые реально нужны сайту
Как AuditGuard обнаруживает проблему
AuditGuard проверяет наличие Permissions-Policy в ответных заголовках.