Как работает postMessage?

postMessage — это безопасный способ обмена данными между разными origin: между iframe и родительским окном, между окнами, между страницей и Web Worker. Отправитель вызывает targetWindow.postMessage(data, targetOrigin), получатель слушает событие message. Обязательно проверяй event.origin в обработчике — иначе любой сайт может отправить сообщение. Данные сериализуются через structured clone algorithm.