Un handler postMessage d’iframe ne doit pas faire confiance aux messages reçus par défaut. L’article montre trois attaques concrètes : origine incorrecte, mauvaise fenêtre malgré la bonne origine, et données valides mais dangereuses. Il recommande de vérifier strictement event.origin, de comparer event.source avec le contentWindow attendu, puis de valider et borner le payload avant toute action. Côté émission, il conseille aussi d’éviter '*' et de cibler une origine précise.