Security & trust

Two modes. Two trust models.

DSGo Apps は一律のサンドボックスではありません。Iframe モードは信頼できないドロップインに対して最も強力な分離を提供します。Inline モードはクローラブルでインデックス可能なページを提供しますが、WordPress サイト内で実行される信頼済みコードとして扱う必要があります。

常に真実である3つのこと

✓ 設計上サンドボックス化されている。 すべてのアプリは iframe サンドボックス内で実行されるか、厳密なリクエストごと CSP の背後で実行されます。アプリがクラッシュしても、サイトは稼働し続けます。サンドボックスはすべての害を防ぐわけではありませんが、被害範囲を制限します。
✓ Free では読み取り専用がデフォルト。 Free ティアのブリッジはポスト、ページ、現在のユーザーを公開し、すべて読み取り専用です。書き込みメソッドと AI 呼び出しは Pro 機能で、それぞれマニフェストで明示的に宣言され、インストール時に承認される必要があります。
✓ あなたの API キーはサイトから離れることはありません。 AI 呼び出しは、管理者が設定した WordPress Connector を経由します。WordPress はその Connector を通じてプロバイダーに呼び出しを行い、DSGo はキーを保持、保存、閲覧、または課金することはありません。Connector を取り消すと、すべてのアプリの AI アクセスが即座に停止します。

If you run a site

In plain English

Two settings. Iframe mode puts an app in a box your other site code cannot reach into; use it for things you did not write yourself, like a Claude or ChatGPT page. Inline mode lets the app behave like a real page on your site (better for Google); use it when the code is something you or your team built and reviewed. The plugin's default for an uploaded HTML file is iframe, which is the safe choice. See real examples →

The short version

Use iframe for untrusted code. Use inline when the app is part of the site.

Strong isolation

Iframe mode

Runs inside an iframe sandbox without allow-same-origin, so the app cannot touch the parent DOM, real cookies, or origin storage. Best for Claude artifacts, third-party bundles, and anything you did not personally audit.

"isolation": "iframe"

Trusted-code mode

Inline mode

Renders as a real WordPress page with CSP, sanitization, routing, and sitemap support. That gives you SEO and native URLs, but the bundle is same-origin code. Treat it like any other trusted plugin or theme code you install.

"isolation": "inline"

What the bridge does

Permissions are real, but not the whole story.

The bridge enforces manifest permissions and keeps REST/auth logic in one place. Apps never receive a REST token. That matters in both modes, but it matters most in iframe mode because the browser boundary is also enforcing separation.

What v1 guarantees

✓ Declared bridge permissions are enforced. Methods reject when the manifest did not request the needed capability.
✓ Apps never get a REST token. The host makes the WordPress REST call on the app's behalf.
✓ Iframe apps get a browser sandbox boundary. That is the right mode for untrusted bundles.
✓ Inline apps get CSP + sanitization, not a browser sandbox. That improves safety, but it is still trusted same-origin code.

Decision rule

Choose the mode by the source of the code.

Unknown source

Downloaded artifact, generated bundle, outside contractor handoff, experimental prototype. Use iframe mode.

Known, reviewed code

Your team built it, reviewed it, and needs crawlable routes or root-mount behavior. Inline mode is appropriate.

Need both

Prototype in iframe first, then promote to inline once the app is stable and you want native SEO and site ownership.

See the exact contract in the docs.

The website summary is high-level. The manifest, bridge methods, and additive v1.x features live in the repo specs.

Install free plugin Read docs See pricing How it works