X-Frame-Options и защита от кликджекинга

Кому разрешено встраивать сайт во фрейм. Это защита от кликджекинга; директива CSP frame-ancestors делает то же самое и засчитывается в эту строку.

• Помощь

Кликджекинг — атака, при которой ваш сайт загружают в невидимый фрейм на чужой странице и вынуждают посетителя нажимать кнопки, которых он не видит: подтвердить платёж, поменять настройки, выдать разрешение. Защита — сообщить браузеру, кому позволено встраивать ваши страницы во фрейм.

Как SiteScan это оценивает

Эту задачу решают два заголовка, и засчитывается любой из них:

• X-Frame-Options: DENY (встраивать нельзя никому) или SAMEORIGIN (только своим страницам) — «Сильный»;
• директива CSP frame-ancestors, современная замена, — тоже «Сильный» при любом значении;
• любое другое значение X-Frame-Options, например устаревший ALLOW-FROM, — «Слабый»: современные браузеры его игнорируют.

Как задать

Большинству сайтов достаточно X-Frame-Options: SAMEORIGIN. Если у вас уже есть Content-Security-Policy, добавьте в неё frame-ancestors 'self'; чтобы разрешить встраивание конкретным партнёрам, перечислите их: frame-ancestors 'self' https://partner.example. Отправлять оба заголовка можно — браузеры, понимающие frame-ancestors, отдают ему приоритет. Если страницы задуманы как встраиваемые виджеты, используйте frame-ancestors с явным списком, а не отключайте защиту.