Une liste de balises HTML qui peuvent être utilisées. Par défaut seuls les attributs <em>lang</em> et <em>dir</em> sont autorisés pour toutes les balises HTML. Chaque balise HTML peut avoir des attributs qui peuvent être traités comme des noms d'attribut autorisés pour cette balise HTML. Chaque attribut peut autoriser toutes les valeurs ou autoriser seulement des valeurs spécifiques. Les noms ou valeurs de l'attribut peuvent être écrites en associant un préfixe et un joker comme <em>jump-*</em>. Les attributs d'événement JavaScript, les URLs JavaScript et CSS sont toujours éliminés.