Con el más reciente lanzamiento de Google Chrome, este navegador ser ha convertido también en el primero en incluir soporte para una nueva función de HTML5 que premite a lso desarrolladores reducir los privilegios de algunas partes de sus sitios de Internet al incluir atributos de zona protegida en los marcos internos (iframe).

La sintaxis de uso de iframe con zona protegida es la siguiente:

<iframe sandbox src="http://probable-atacante.algo/pagina-poco-confiable.html">
</iframe>

Cuando se muestra pagina-poco-confiable.html en un marco interno (iframe) con función de zona protegida (sandbox), el navegador la muestra con privilegios reducidos (ejemplo: desactiva JavaScript, ventanas emergentes y formularios), de manera similar a como Google Chrome utiliza su motor en zonas protegidas.

También es posible controlar los privilegios de un documento o página de confianza, especificando los privilegios que si se permitirán en el atributo sandbox. Por ejemplo, si se desea que pagina-poco-confiable.html permita ejecutar guiones y además contiene formularios, se puede utilizar la siguiente sintaxis:

<iframe sandbox="allow-scripts allowforms" src="http://probable-atacante.algo/pagina-poco-confiable.html">
</iframe>

El resto de las demás funciones que controla el atributo sandbox siguen restringidos y en el caso anterior se impedirían las ventanas emergentes o iniciar los complementos del navegados (plugins). La lista completa de directivas para el atributo sandbox de la etiqueta iframe, se localiza en este enlace.

Obviamente hay que tomar en cuenta a los navegadores que carecen de este soporte y es preferible evitar se muestre contenido potencialmente peligroso a los navegadores que carezcan de soporte para el atributo sandbox. Por tanto, solo conviene utilizar este atributo con navegadores que lo reconozcan. Se puede hacer uso de JavaScript para hacerlo, como el código JavaScript a continuación:

if ("sandbox" in document.createElement("iframe")) {
    // Este navegador soporta @sandbox.  Se puede mostrar contenido
    //potencialmente peligroso en una zona segura de modo confiable
}

Fuente: Chromium Blog.