X-Frame-Options i ochrona przed clickjackingiem

Kto może osadzić witrynę w ramce. To zabezpieczenie przed clickjackingiem; dyrektywa CSP frame-ancestors robi to samo i liczy się do tego wiersza.

• Pomoc

Clickjacking to atak, w którym witrynę ładuje się w niewidocznej ramce na obcej stronie, a odwiedzający zostaje nakłoniony do klikania przycisków, których nie widzi: potwierdzenia płatności, zmiany ustawień, udzielenia uprawnień. Obrona polega na tym, by powiedzieć przeglądarce, kto może osadzać twoje strony w ramce.

Jak ocenia to SiteScan

To zadanie spełniają dwa nagłówki i liczy się dowolny z nich:

• X-Frame-Options: DENY (nikt nie może osadzać) lub SAMEORIGIN (tylko własne strony) to „Mocny”;
• dyrektywa CSP frame-ancestors, jej nowoczesny następca, to również „Mocny” przy dowolnej wartości;
• każda inna wartość X-Frame-Options, np. przestarzałe ALLOW-FROM, to „Słaby” — współczesne przeglądarki ją ignorują.

Jak go ustawić

Większości witryn wystarczy X-Frame-Options: SAMEORIGIN. Jeśli masz już Content-Security-Policy, dodaj do niej frame-ancestors 'self'; aby zezwolić konkretnym partnerom, wymień ich: frame-ancestors 'self' https://partner.example. Wysyłanie obu nagłówków jest w porządku — przeglądarki rozumiejące frame-ancestors dają mu pierwszeństwo. Jeśli strony mają być osadzane jako widżety, użyj frame-ancestors z jawną listą, zamiast wyłączać ochronę.