: El elemento Script

Este elemento incluye los atributos globales.

async

Para los scripts clásicos, si el atributo async está presente, entonces el script clásico será obtenido en paralelo al parsing y evaluado tan pronto como esté disponible.

Para los scripts de módulos, si el atributo async está presente, los scripts y todas sus dependencias se ejecutarán en la cola de aplazamiento, por lo que se obtendrán en paralelo al análisis sintáctico y se evaluarán tan pronto como estén disponibles.

Este atributo permite eliminar el JavaScript que bloquea el análisis sintáctico, donde el navegador tendría que cargar y evaluar los scripts antes de continuar con el análisis sintáctico. defer tiene un efecto similar en este caso.

Se trata de un atributo booleano: la presencia de un atributo booleano en un elemento representa el valor verdadero, y la ausencia del atributo representa el valor falso.

Vea Compatibilidad con navegadores para obtener notas sobre la compatibilidad con navegadores. Véase también Scripts asíncronos para asm.js.

crossoriginLos elementosscriptpasan información mínima a loswindow.onerrorpara los scripts que no pasan las comprobaciones CORS estándar. Para permitir el registro de errores para los sitios que utilizan un dominio separado para los medios estáticos, utilice este atributo. Consulte los atributos de configuración de CORS para obtener una explicación más descriptiva de sus argumentos válidos.defer

Este atributo booleano se establece para indicar a un navegador que la secuencia de comandos está destinada a ejecutarse después de analizar el documento, pero antes de disparar DOMContentLoaded.

Los scripts con el atributo defer evitarán que el evento DOMContentLoaded se dispare hasta que el script se haya cargado y terminado de evaluar.

Los scripts con el atributo defer se ejecutarán en el orden en que aparezcan en el documento.

Este atributo permite eliminar el JavaScript que bloquea el parser, donde el navegador tendría que cargar y evaluar los scripts antes de continuar con el parseo. async tiene un efecto similar en este caso.

integrityEste atributo contiene metadatos en línea que un agente de usuario puede utilizar para verificar que un recurso obtenido ha sido entregado libre de manipulaciones inesperadas. Véase Integridad de los subrecursos.

nomoduleEste atributo booleano se establece para indicar que la secuencia de comandos no debe ejecutarse en los navegadores que admiten módulos ES2015; en efecto, esto puede utilizarse para servir secuencias de comandos de reserva a los navegadores más antiguos que no admiten código JavaScript modular.nonceUn nonce criptográfico (número que se utiliza una vez) para poner en la lista blanca los scripts en una política de seguridad de contenido script-src. El servidor debe generar un valor nonce único cada vez que transmite una política. Es fundamental proporcionar un nonce que no pueda ser adivinado, ya que saltarse la política de un recurso es de otro modo trivial.referrerpolicyIndica qué referente enviar cuando se obtiene el script, o los recursos obtenidos por el script:

• no-referrer: No se enviará la cabecera Referer.
• no-referrer-when-downgrade (por defecto): La cabecera Referer no se enviará a los orígenes sin TLS (HTTPS).
• origin: El referrer enviado se limitará al origen de la página referente: su esquema, host y puerto.
• origin-when-cross-origin: El referrer enviado a otros orígenes se limitará al esquema, el host y el puerto. Las navegaciones en el mismo origen seguirán incluyendo la ruta.
• same-origin: Se enviará un referrer para el mismo origen, pero las peticiones de origen cruzado no contendrán información de referrer.
• strict-origin: Sólo envíe el origen del documento como referente cuando el nivel de seguridad del protocolo se mantenga igual (por ejemplo, HTTPS→HTTPS), pero no lo envíe a un destino menos seguro (por ejemplo, HTTPS→HTTP).
• strict-origin-when-cross-origin: Envíe una URL completa cuando realice una solicitud de mismo origen, pero sólo envíe el origen cuando el nivel de seguridad del protocolo se mantenga igual (por ejemplo, HTTPS→HTTPS).g.HTTPS→HTTPS), y no enviar ninguna cabecera a un destino menos seguro (e.g. HTTPS→HTTP).
• unsafe-url: El referrer incluirá el origen y la ruta (pero no el fragmento, la contraseña o el nombre de usuario). Este valor no es seguro, porque filtra orígenes y rutas de recursos protegidos por TLS a orígenes inseguros.

Nota: Un valor de cadena vacía ("") es tanto el valor por defecto, como un valor de reserva si referrerpolicy no es compatible. Si referrerpolicy no se especifica explícitamente en el elemento <script>, adoptará una política de referencia de nivel superior, es decir, una establecida en todo el documento o dominio. Si no se dispone de una política de nivel superior, la cadena vacía se tratará como equivalente a no-referrer-when-downgrade.