X-Frame-Options und Clickjacking-Schutz

Wer die Seite in einen Frame einbetten darf. Das ist der Schutz gegen Clickjacking; die CSP-Direktive frame-ancestors leistet dasselbe und zählt für diese Zeile.

• Hilfe

Clickjacking ist ein Angriff, bei dem Ihre Website in einem unsichtbaren Frame auf einer fremden Seite geladen wird und Besucher dazu gebracht werden, Schaltflächen zu klicken, die sie nicht sehen: eine Zahlung bestätigen, Einstellungen ändern, eine Berechtigung erteilen. Die Abwehr besteht darin, dem Browser zu sagen, wer Ihre Seiten in einen Frame einbetten darf.

So bewertet SiteScan

Zwei Header erfüllen diese Aufgabe, und jeder von beiden zählt:

• X-Frame-Options: DENY (niemand darf einbetten) oder SAMEORIGIN (nur eigene Seiten) ist „Stark“;
• die CSP-Direktive frame-ancestors, ihr moderner Nachfolger, ist mit jedem Wert ebenfalls „Stark“;
• jeder andere X-Frame-Options-Wert, etwa das veraltete ALLOW-FROM, ist „Schwach“ – aktuelle Browser ignorieren ihn.

So setzen Sie ihn

Für die meisten Websites reicht X-Frame-Options: SAMEORIGIN. Haben Sie bereits eine Content-Security-Policy, ergänzen Sie dort frame-ancestors 'self'; einzelne Partner erlauben Sie per Liste: frame-ancestors 'self' https://partner.example. Beide Header zu senden ist unproblematisch – Browser, die frame-ancestors kennen, geben ihm Vorrang. Sollen Ihre Seiten als Widget eingebettet werden, nutzen Sie frame-ancestors mit expliziter Liste, statt den Schutz abzuschalten.