Trusted Types è una funzionalità di sicurezza del browser progettata per impedire che dati non sicuri vengano scritti in sink DOM pericolosi come innerHTML, insertAdjacentHTML e API correlate agli script. Anziché consentire al codice dell'applicazione di passare stringhe grezze, il browser può richiedere oggetti tipizzati speciali creati da policy approvate. Questo rende molto più difficile che input controllato da un attaccante diventi markup o script eseguibile a causa di un passo di validazione mancato o di un errore nel sanitizer.
È importante perché molti bug XSS non sono causati da codice ovviamente pericoloso, ma da piccole violazioni del confine di fiducia in cui il testo viene convertito in HTML troppo presto. In pratica, i difensori abilitano Trusted Types tramite Content Security Policy e lo affiancano ad API DOM sicure e sanitizer verificati. Se un'applicazione tenta di iniettare una stringa semplice in un sink protetto, il browser lo blocca e genera un segnale chiaro durante i test. Questo rende Trusted Types utile sia come controllo preventivo sia come modo per rilevare percorsi di rendering rischiosi prima che diventino sfruttabili.