Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
Deutsch
Entry № 1179

Trusted Types

Was ist Trusted Types?

Trusted TypesBrowser-API und CSP-Direktive zur Verhinderung von DOM-basiertem XSS: gefahrliche DOM-Sinks akzeptieren nur typisierte, durch Policies gepruefte Werte statt roher Strings.

Trusted Types ist eine von Google entwickelte und im W3C standardisierte Massnahme gegen DOM-basiertes XSS. Aktiviert man die CSP-Direktiven require-trusted-types-for und trusted-types, weigert sich der Browser, Sinks wie innerHTML, document.write, eval oder script.src mit einem reinen String aufzurufen. Der Code muss stattdessen typisierte Objekte (TrustedHTML, TrustedScript, TrustedScriptURL) uber benannte, gepruefte Policies erzeugen. So gelangen alle unsicheren DOM-Schreibvorgange uber eine kleine, ueberprufbare Schnittstelle und die meisten Alt-XSS-Sinks fallen weg. Im grossen Stil eingesetzt bei Google, Bing, Shopify und anderen grossen Web-Plattformen.

● Beispiele

  1. 01

    Content-Security-Policy: require-trusted-types-for 'script'; trusted-types default;

  2. 02

    Statt element.innerHTML = userInput nun element.innerHTML = policy.createHTML(userInput).

● Häufige Fragen

Was ist Trusted Types?

Browser-API und CSP-Direktive zur Verhinderung von DOM-basiertem XSS: gefahrliche DOM-Sinks akzeptieren nur typisierte, durch Policies gepruefte Werte statt roher Strings. Es gehört zur Kategorie Anwendungssicherheit der Cybersicherheit.

Was bedeutet Trusted Types?

Browser-API und CSP-Direktive zur Verhinderung von DOM-basiertem XSS: gefahrliche DOM-Sinks akzeptieren nur typisierte, durch Policies gepruefte Werte statt roher Strings.

Wie funktioniert Trusted Types?

Trusted Types ist eine von Google entwickelte und im W3C standardisierte Massnahme gegen DOM-basiertes XSS. Aktiviert man die CSP-Direktiven require-trusted-types-for und trusted-types, weigert sich der Browser, Sinks wie innerHTML, document.write, eval oder script.src mit einem reinen String aufzurufen. Der Code muss stattdessen typisierte Objekte (TrustedHTML, TrustedScript, TrustedScriptURL) uber benannte, gepruefte Policies erzeugen. So gelangen alle unsicheren DOM-Schreibvorgange uber eine kleine, ueberprufbare Schnittstelle und die meisten Alt-XSS-Sinks fallen weg. Im grossen Stil eingesetzt bei Google, Bing, Shopify und anderen grossen Web-Plattformen.

Wie schützt man sich gegen Trusted Types?

Schutzmaßnahmen gegen Trusted Types kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.

● Verwandte Begriffe

● Siehe auch