Je plaatst de HTML van een e-mail in een webpagina. Dat levert een kwetsbaarheid op. Die probeer je dan weer te blokkeren. Elk foutje in die blokkade zet die kwetsbaarheid weer open. Plaats de HTML van een e-mail niet in een webpagina, toon hem in een lokaal venster waarin voor de opmaak wel HTML ondersteund wordt maar waarin een JavaScript-engine domweg niet aanwezig is. Dan hoef je XSS niet te blokkeren, het is om te beginnen al niet van toepassing. Ook allerlei andere ellende kan je op die manier buitensluiten. Het lijkt soms wel alsof men in de softwareindustrie met een onstuitbare gretigheid alles wat men maar door elkaar kan laten lopen ook echt door elkaar laat lopen. Men noemt het integratie maar het is verwevenheid, verwevenheid die maakt dat iets dat mis kan gaan problemen geeft in een onnodig groot domein. En zoals zo vaak worden de ontwikkelingen eenzijdig aangedreven door voordelen die men ziet en niet door nadelen, daar wordt een pleistertje opgeplakt dat niet altijd goed blijft zitten. Men ...