Pontos principais
- O isolamento de sites é um recurso de segurança que executa cada site em um processo próprio, impedindo o roubo de dados entre sites mesmo em ataques do tipo Spectre.
- O isolamento de sites pode ser ativado dispositivo a dispositivo em chrome://flags, mas escala por toda a frota via Política de Grupo ou políticas de registro como SitePerProcess e IsolateOrigins.
- O isolamento de sites gera cerca de 10-13% de consumo extra de memória e 1-2% a mais no tempo de carregamento — custos que a maior parte do hardware moderno absorve sem problema.
- Plataformas de gerenciamento de endpoints aplicam o isolamento de sites de forma consistente em todos os endpoints gerenciados, dispensando a configuração manual em cada dispositivo.
O que é isolamento de sites?
Isolamento de sites é um recurso de segurança do Google Chrome que separa os processos dos sites para impedir o roubo de dados entre eles. Essa proteção faz cada site rodar em um processo dedicado, criando limites rígidos entre origens web diferentes. O isolamento de sites do Chrome reforça bastante a segurança do navegador: impede que sites maliciosos acessem dados de outros sites, mesmo diante de vulnerabilidades como a Spectre.
O recurso marca uma mudança profunda na arquitetura dos navegadores. Saímos de um modelo em que vários sites podiam compartilhar processos para outro em que o isolamento é obrigatório.
Assista ao vídeo para ver um guia visual de “O que é o isolamento estrito de sites do Google Chrome e como configurá-lo”.
Arquitetura de separação de processos
O isolamento de sites do Chrome funciona atribuindo a cada site um processo de renderização dedicado. Quando está ativo, o Chrome cria processos separados para cada iframe de outro site, garantindo que conteúdos de origens diferentes não acessem diretamente a memória uns dos outros.
Essa separação em nível de processo cria limites impostos pelo hardware entre os sites e impede que um processo de renderização comprometido leia dados aos quais não deveria ter acesso. A arquitetura aplica a Política de Mesma Origem no nível do processo, e não apenas dentro do renderizador.
Detalhamento dos benefícios de segurança
O isolamento de sites protege contra várias classes de ataques web que os modelos tradicionais de segurança de navegador têm dificuldade de conter. A defesa principal é contra ataques de canal lateral como a Spectre, que exploram a execução especulativa da CPU para ler memória privilegiada.
Ao isolar sites em processos separados, o Chrome impede que esses ataques alcancem dados de outras origens, mesmo quando há vulnerabilidades no renderizador. Essa arquitetura também ajuda a conter ataques de cross-site scripting universal (UXSS) e reduz o impacto de fugas do sandbox.
Ajustes rápidos de configuração
O navegador oferece vários caminhos para ativar, desativar ou personalizar o comportamento do isolamento de sites conforme a necessidade. O isolamento de sites do Chrome é fácil de configurar pelas próprias opções do navegador, o que dá controle sobre esse recurso de segurança.
As opções vão de simples chaves na página de flags do Chrome até configurações avançadas de política corporativa para implantações organizacionais. A maioria dos usuários consegue gerenciar o isolamento de sites pela interface de flags experimentais do Chrome, que permite ajustar tudo sem conhecimento técnico aprofundado.
Navegação pelas flags do Chrome
Para acessar os recursos experimentais do Chrome, é preciso abrir a página especial de flags, onde as configurações do navegador podem ser alteradas. Para chegar a essas opções e gerenciar o isolamento de sites no seu navegador, siga estes passos:
- Abra o Chrome e digite “chrome://flags” na barra de endereços.
- Pressione Enter para acessar a página de recursos experimentais.
- Na caixa de pesquisa no topo, digite “isolation” para filtrar as opções relevantes.
- Localize a flag “Strict site isolation” e as relacionadas nos resultados.
- Use os menus suspensos ao lado de cada flag para escolher a configuração desejada.
A página de flags traz várias opções ligadas ao isolamento além da chave principal.
Como desativar a flag do Chrome
Em alguns casos, pode ser necessário desativar temporariamente a flag do Chrome referente ao isolamento de sites para investigar problemas de compatibilidade. Assim, dá para voltar ao comportamento padrão do navegador quando preciso. Veja como desativar esses recursos de segurança com segurança:
- Acesse “chrome://flags” no navegador Chrome.
- Pesquise “isolation” no campo de busca.
- Encontre a flag “Strict site isolation” nos resultados.
- Clique no menu suspenso e selecione “Disabled” entre as opções.
- Procure o botão “Restart” que aparece na parte de baixo da tela.
- Clique em “Restart” para aplicar as mudanças e reabrir o Chrome.
Desativar o isolamento de sites pode resolver certos problemas de compatibilidade, mas elimina uma camada importante de proteção contra ataques de canal lateral.
Configurações de política corporativa
Em ambientes corporativos, o isolamento de sites do Chrome pode ser gerenciado por políticas corporativas, o que permite configurar vários dispositivos de forma centralizada. Essas políticas dão aos administradores de TI ferramentas para impor padrões de segurança sem perder de vista requisitos específicos do negócio.
Os administradores podem distribuir as políticas por Política de Grupo, configurações de registro ou consoles de gerenciamento, conforme o ambiente. A política SitePerProcess aplica o isolamento a todos os sites, enquanto IsolateOrigins permite uma aplicação mais seletiva.
Implantação de políticas em escala
Gerenciar o isolamento de sites por chrome://flags funciona em um dispositivo, mas não escala para uma frota inteira. Em equipes de TI que cuidam de centenas ou milhares de endpoints, políticas corporativas do Chrome como SitePerProcess e IsolateOrigins costumam ser implantadas via Política de Grupo, configurações de registro ou ferramentas centralizadas de gerenciamento de endpoints.
A plataforma NinjaOne Browser Management permite que a TI aplique políticas de navegador de forma centralizada no Chrome, no Edge e no Firefox pelo mesmo console. Isso ajuda a manter configurações de segurança consistentes em todos os endpoints gerenciados, sem depender de configuração manual, GPOs ou soluções pontuais separadas.
Avaliação do impacto no desempenho
Ativar o isolamento de sites do Chrome traz algumas considerações de desempenho, já que muda a arquitetura de gerenciamento de processos do navegador. O recurso aumenta a segurança criando processos separados para sites diferentes, o que naturalmente exige mais recursos do sistema.
A maioria dos sistemas modernos absorve esse custo sem impacto perceptível, mas entender essas implicações ajuda a decidir com mais clareza. O efeito varia conforme os hábitos de navegação, as especificações da máquina e a configuração de isolamento adotada.
Considerações sobre uso de memória
O isolamento de sites do Chrome aumenta o uso de memória porque cria processos de renderização separados para cada site em vez de compartilhá-los entre origens. Essa separação é a base dos ganhos de segurança, mas exige mais memória alocada. Em média, ativar o isolamento de sites aumenta o consumo de memória do Chrome em cerca de 10-13% em comparação com a configuração padrão. O impacto cresce conforme o número de iframes de outros sites e de origens carregadas ao mesmo tempo.
Efeitos na velocidade de navegação
O isolamento de sites pode afetar métricas como tempo de carregamento das páginas e capacidade de resposta, embora o impacto costume ser mínimo em hardware moderno. As primeiras medições mostram que ativar o isolamento completo acrescenta cerca de 1-2% ao tempo de carregamento em cenários comuns de navegação. O efeito aparece principalmente em páginas complexas com vários iframes de outros sites ou na troca rápida entre abas de origens diferentes.
Implantação de políticas de isolamento personalizadas
Além da configuração padrão, políticas de isolamento personalizadas podem mirar domínios específicos de alto risco e manter o processamento padrão para aplicações internas confiáveis. O Chrome aceita políticas personalizadas que dão controle mais granular sobre quais sites recebem a proteção. Essa flexibilidade permite que organizações e usuários avançados montem estratégias sob medida, equilibrando proteção, compatibilidade e desempenho.
Criação de regras por site
Criar regras personalizadas de isolamento permite aplicar níveis diferentes de proteção a domínios específicos conforme o risco e a importância de cada um. Essa abordagem direcionada otimiza o desempenho do navegador e mantém segurança forte nos sites sensíveis.
Para criar regras de isolamento por site, use as políticas corporativas ou as flags do Chrome:
- Em ambientes corporativos, crie um arquivo de política que especifique a lista IsolateOrigins.
- Inclua padrões de origem completos, como “https://example.com”, para os domínios que precisam de isolamento.
- Use curingas com cuidado: padrões amplos demais podem prejudicar o desempenho sem necessidade.
- Distribua a política pelo seu sistema de gerenciamento ou alterando o registro.
- Teste a configuração com cenários de navegação representativos para confirmar o comportamento.
Ao montar regras por site, priorize o isolamento daqueles que lidam com dados sensíveis, como serviços financeiros ou portais de saúde.
Gerenciamento de exceções de origem
Gerenciar exceções à política de isolamento ajuda a resolver problemas de compatibilidade com sites específicos sem abrir mão da proteção nos demais. Algumas aplicações web legadas não funcionam bem sob isolamento estrito e precisam ficar de fora da política. O Chrome oferece mecanismos para criar e administrar essas exceções nas configurações de política.
Boas práticas de isolamento de sites
As implementações mais eficazes combinam proteção global, exceções pontuais e monitoramento constante. Seguir boas práticas de isolamento de sites garante o máximo de segurança com o mínimo de problemas de desempenho ou compatibilidade.
Veja 5 boas práticas de isolamento de sites para fortalecer sua postura de segurança:
- Ative o isolamento de sites em toda a organização por Política de Grupo ou pelo console de gerenciamento.
- Confirme que todas as instâncias do navegador rodam com o isolamento ativado, para manter a proteção consistente.
- Acompanhe as métricas de desempenho do navegador depois de ativar o recurso, para identificar possíveis impactos.
- Treine as equipes de suporte de TI para resolver problemas ligados ao isolamento de sites que os usuários possam enfrentar.
- Teste o isolamento de sites com as aplicações críticas do negócio para detectar desafios de compatibilidade.
Adotar o isolamento de sites do Chrome é um passo importante para fortalecer a postura de cibersegurança da organização. Ao separar os processos dos sites e criar limites claros entre domínios, você protege dados sensíveis contra ataques entre sites sofisticados e mantém o desempenho que o negócio exige.
