Chrome 158 отключает XSLT 17 ноября: что проверить на сайте до релиза

17 ноября выходит стабильный Chrome 158, и в нём перестаёт работать XSLT — технология, которая превращает XML в оформленную страницу прямо в браузере. Под отключение попадают класс XSLTProcessor и инструкция <?xml-stylesheet type="text/xsl"?>. График опубликован в документации Chrome for Developers. Microsoft готовит к этой дате свои продукты: в статье поддержки KB5130994 компания описывает, как без XSLT ломается веб-интерфейс RD Web Access, и выпускает исправление в ноябрьском обновлении безопасности Windows.

По оценке Google, XSLT используют около 0,02% загрузок страниц. Обычный сайт на HTML и CSS изменение не заметит. Под угрозой три вещи:

• оформленные карты сайта и RSS-ленты, у которых к XML подключена XSL-таблица стилей;
• старые корпоративные порталы и админки, где интерфейс собирается из XML на стороне клиента;
• встроенные в продукты веб-клиенты вроде того же RD Web Access.

Если такой интерфейс есть во внутренней системе, это работа уже не для вёрстки, а для разработчиков: XSLT нужно перенести на сервер или переписать рендеринг на JavaScript. Разработка веб-приложений под современные браузеры обычно начинается с такого аудита старых зависимостей, а не с нового дизайна.

Что именно меняется и когда

• Chrome 158, 17 ноября 2026. XSLT перестаёт работать в стабильной версии у всех, кроме участников Origin Trial и компаний с корпоративной политикой.
• Chrome 176, 17 августа 2027. Origin Trial и корпоративная политика отключаются, XSLT не работает ни у кого.
• Microsoft Edge. Политика XSLTEnabled поддерживается с Edge 147 и, по документации Microsoft, временная: в одной из будущих версий её уберут.
• Другие движки. Google пишет, что разработчики WebKit (Safari) и Gecko (Firefox) тоже заявили о планах убрать XSLT.

Причина — безопасность. Библиотеки, которые выполняют XSLT-преобразования, написаны на старом C/C++ и уязвимы к ошибкам работы с памятью, а пользуются ими единицы сайтов.

Что сломается на сайте

Сама карта сайта не пострадает. XML по-прежнему разбирается, скачивается и читается поисковыми роботами. Пропадает только «человеческий» вид: вместо таблицы с оформлением браузер покажет голый XML или сообщение об ошибке. Для SEO это не проблема, но клиент, который открыл sitemap.xml на приёмке, увидит «сломанную страницу» и заведёт правку.

Серьёзнее с интерфейсами, которые целиком строятся через XSLT. По данным Microsoft, при отключённом XSLT RD Web Access показывает ошибку «Unable to display RD Web Access» вместо страницы входа. Такие же симптомы будут у любой внутренней системы, собранной по этой схеме: личных кабинетов, отчётов, справочников.

Что это значит для ревью и приёмки

Добавьте XSLT в чек-лист. Поиск по коду на XSLTProcessor, xml-stylesheet и файлы .xsl занимает несколько минут. Этот пункт стоит внести в чек-лист приёмки сайта для проектов со старым кодом.

Проверяйте в Chrome 158 до релиза. Бета-версия уже доступна. Откройте в ней карту сайта, RSS и внутренние разделы, которые отдают XML. Каждое расхождение оставляйте комментарием прямо на странице с версией браузера, как описано в материале о том, как собирать правки.

Договоритесь, кто чинит. Оформление карты сайта можно просто убрать. Интерфейс на XSLT придётся переносить, и это отдельная задача с оценкой, а не правка в рамках приёмки. Повторный проход после переноса стоит заложить в план регрессионного тестирования.

Что делать сейчас

Найдите XSLT в своих проектах до 17 ноября. Для корпоративных систем временно поможет политика XSLTEnabled в Chrome и Edge, но только до августа 2027 года. За это время нужно выбрать один из путей, которые предлагает Google:

• перенести XSLT-преобразование на сервер и отдавать готовый HTML;
• перевести XML-эндпоинты на JSON и рендерить интерфейс на JavaScript;
• подключить WASM-полифил вместо XSLTProcessor.

Если у вас RD Web Access, установите ноябрьское обновление Windows: так советует Microsoft.