HTML5が備える機能は幅広い。端末のローカルストレージやグラフィック機能に加え、端末の位置情報の取得、オフライン時のWebアプリケーション利用などさまざまだ。「HTML5はこうした全ての機能をプラグインのインストールなしで実現する。HTML5をサポートするあらゆる端末で使用感を統一できるという利点は大きい」と、リン氏はHTML5の実力を評価する。

　HTML5に対する期待の高さは、ベンダーの動きからも見て取れる。まだ仕様が完全に確定していないにもかかわらず、最新のWebブラウザのほとんどがHTML5をサポート済みだ。Adobe Systemsは2011年11月に従来の立場を覆し、スマートフォンとタブレット端末向けのFlashの開発を打ち切り、代わりにHTML5に注力すると発表した。

　HTML5の仕様策定を進めているのは、Web技術の標準化団体である「World Wide Web Consortium（W3C）」である。「W3CはHTML5のセキュリティ問題とプライバシー問題についてまだ解決すべきことがある」というのが、セキュリティ専門家に共通した見方だ。

　専門家がやり玉に挙げる問題の1つが、Cookieを利用した行動トラッキングである。広告業者が、Webにおける個人の行動を追跡できることを懸念する声は多いからだ。HTML5はエンドユーザーの情報を追跡したり保存するための手段を多数備える。にもかかわらず、「重要な情報を除去したり、個人情報を管理するための具体的な手順が明確に定義されていない」とリン氏は懸念を示す。

　HTML5においてさらに脅威となるのは、Webサイトに見えないボタンを埋め込んで、ボタンをクリックしたエンドユーザーを悪意のあるWebサイトに誘導する「クリックジャッキング」である。

　Webブラウザベンダー各社は既に対策を講じており、最新のWebブラウザは大半のクリックジャッキングを防止できる。だが「HTML5の場合、一部のクリックジャッキング対策が無効になるケースがある」と、Trend Microの上級研究員であるロバート・マカードル氏は指摘する。対策が無効になるのは、Webページの改ざんを防ぐためのJavaScriptのスクリプトをWebページに埋め込んでいる場合だという。

　なぜJavaScriptを使った対策が無効となるのか。その原因は、本来セキュリティ向上のために用意されたHTML5の「サンドボックス機能」だというのだ。HTML5のサンドボックス機能は、あるWebページ内に別のページを埋め込んだ際に、JavaScriptの実行を抑制する効果を持つ。「ほとんどの場合、サンドボックスはセキュリティの大幅な強化に役立つ。だがクリックジャッキングに対しては逆効果になる場合があることに注意すべきだ」（マカードル氏）

　「HTML5に関する標準的なセキュリティモデルの確立は喫緊の課題だ。HTML5に関わる全ての事業社が足並みをそろえないままでは、HTML5普及の初期段階で全員が痛い思いをすることになるだろう」と、ソフォスのリン氏は指摘する。

　アプリケーションセキュリティ団体である「Open Web Application Security Project（OWASP）」は、HTML5のベストプラクティスをまとめたドキュメントやアプリケーション開発者に向けの情報を集めたWebサイトを作成している。

　アプリケーションセキュリティ診断を手掛ける米Veracodeでリサーチ担当副社長を務めるクリス・イング氏は自身のブログで次のように記している。「開発者は誤った思い込みを排除するために、HTML5の各機能が実際にどう機能するのかを詳細に学んでおく必要があるだろう」