iframe-sikkerhed: clickjacking og X-Frame-Options

X-Frame-Options: DENY forhindrer siden i at blive indlæst i nogen iframe. X-Frame-Options: SAMEORIGIN tillader kun indlejring fra sider på samme oprindelse. Indstil denne header på serversiden på alle sider, der kræver godkendelse, for at forhindre klik-kapring.

Content-Security-Policy: frame-ancestors 'none' er den moderne og mere fleksible erstatning for X-Frame-Options: DENY. frame-ancestors 'self' erstatter SAMEORIGIN. frame-ancestors kan også tillade specifikke betroede oprindelser: frame-ancestors https://trusted.example.com.

Ældre teknikker til at bryde ud af frames brugte JavaScript. De besejres let af sandbox-attributten, som blokerer scriptet, der forsøger at bryde ud af framen. Brug altid headers på serversiden (X-Frame-Options eller CSP frame-ancestors) — JavaScript-baseret frame-brydning er ikke pålidelig.

Legitime anvendelser af indlejring: indlejring af dit eget indhold på din egen oprindelse (SAMEORIGIN) eller tilladelse af, at en bestemt partner indlejrer din widget (frame-ancestors med en specifik oprindelse). Udform politikken, så den tillader disse tilfælde og afviser alle andre.

Indstil både X-Frame-Options (til ældre browsere) og CSP frame-ancestors (til moderne browsere) for størst mulig dækning. Når begge er til stede, har frame-ancestors forrang i browsere, der understøtter CSP. Ved at sende begge sikrer du beskyttelse mod klik-kapring på tværs af alle brugeragenter.

Selv iframes fra samme oprindelse kan udgøre risici: et lagret XSS-angreb på en indlejret side kan få adgang til den overordnede side via parent.document, hvis de har samme oprindelse. Brug sandbox uden allow-same-origin til iframes fra samme oprindelse, der ikke har brug for adgang til den overordnede side, for at begrænse skaden fra sårbarheder i det indlejrede indhold.

Kontrollér beskyttelsen mod klik-kapring: Brug browserens netværksfane til at kontrollere svarheadere for X-Frame-Options eller CSP frame-ancestors. Værktøjer som securityheaders.com analyserer headere. Opret en test-HTML-side med en iframe, der peger på dit site, og kontrollér, at den ikke kan indlæses.

Når du indlejrer tredjepartsindhold (YouTube, Google Maps), er du den side, der foretager indlejringen — kontrollér, at den indlejrede tjeneste tillader indlejring i sin egen X-Frame-Options-politik. Du kan ikke indlejre et site, der forhindrer indlejring — det er tilsigtet og beskytter brugerne af den indlejrede tjeneste.

I modsætning til de fleste CSP-direktiver kan frame-ancestors ikke angives via et HTTP-equiv-meta-tag — det skal leveres som en HTTP-svarheader. Det sikrer, at angribere ikke kan fjerne beskyttelsen ved at manipulere den indlejrede HTML, før browseren læser metatags.

Klik-kapring indlejrer godkendte sider i gennemsigtige iframes for at kapre klik. Beskyttelse: headers på serversiden med X-Frame-Options: DENY eller CSP frame-ancestors: none. Indstil begge for dækning på tværs af browsere. JavaScript-baseret frame-brydning er upålidelig — brug altid HTTP-headere. frame-ancestors giver mulighed for detaljerede tilladelseslister over betroede oprindelser, hvilket X-Frame-Options ikke kan.