Seguridad de iframe: clickjacking y X-Frame-Options

El clickjacking (redressing de la interfaz de usuario) incrusta un sitio objetivo en un iframe transparente situado sobre una página señuelo. El usuario cree que está haciendo clic en el señuelo, pero en realidad hace clic en la página autenticada oculta que está debajo, ejecutando acciones en el sitio objetivo sin saberlo.

El atacante carga victim.com en un iframe transparente colocado sobre un botón «¡Haga clic para ganar!». Cuando el usuario hace clic, en realidad hace clic en el botón «Eliminar cuenta» de victim.com, autenticado como él mismo mediante la cookie de sesión de victim.com. No se requiere phishing.

X-Frame-Options: DENY impide que la página se cargue en cualquier iframe. X-Frame-Options: SAMEORIGIN permite la incrustación únicamente por parte de páginas del mismo origen. Configure este encabezado en el servidor para todas las páginas autenticadas a fin de prevenir el clickjacking.

Content-Security-Policy: frame-ancestors 'none' es el reemplazo moderno y más flexible de X-Frame-Options: DENY. frame-ancestors 'self' reemplaza a SAMEORIGIN. frame-ancestors también puede permitir orígenes de confianza específicos: frame-ancestors https://trusted.example.com.

El frame busting heredado utilizaba JavaScript para salir de los frames. El atributo sandbox lo derrota fácilmente, ya que bloquea el script de frame busting. Utilice siempre encabezados del servidor (X-Frame-Options o CSP frame-ancestors); el frame busting mediante JavaScript no es fiable.

Casos de uso legítimos para la incrustación: incrustar contenido propio en su propio origen (SAMEORIGIN) o permitir que un socio específico incruste su widget (frame-ancestors con un origen específico). Diseñe la política para permitir estos casos y denegar todos los demás.

Configure tanto X-Frame-Options (para navegadores antiguos) como CSP frame-ancestors (para navegadores modernos) para obtener la máxima cobertura. Cuando ambos están presentes, frame-ancestors tiene prioridad en los navegadores compatibles con CSP. Enviar ambos garantiza la protección contra el clickjacking en todos los agentes de usuario.

Incluso los iframe same-origin pueden plantear riesgos: un XSS almacenado en una página incrustada podría acceder a la página principal mediante parent.document si comparten el mismo origen. Utilice sandbox sin allow-same-origin en los iframe same-origin que no necesiten acceder a la página principal, para limitar los daños provocados por vulnerabilidades del contenido incrustado.

Verifique la protección contra el clickjacking: utilice la pestaña de red del navegador para comprobar si los encabezados de respuesta incluyen X-Frame-Options o CSP frame-ancestors. Herramientas como securityheaders.com analizan los encabezados. Cree una página HTML de prueba con un iframe que apunte a su sitio y compruebe que no se carga.

Al incrustar contenido de terceros (YouTube, Google Maps), usted es el sitio que realiza la incrustación; asegúrese de que el servicio incrustado permita la incrustación en su propia política de X-Frame-Options. No puede incrustar un sitio que impida la incrustación; esto es intencionado y protege a los usuarios del servicio incrustado.

A diferencia de la mayoría de las directivas CSP, frame-ancestors no puede configurarse mediante una etiqueta meta HTTP-equiv; debe enviarse como un encabezado de respuesta HTTP. Esto garantiza que los atacantes no puedan eliminar la protección manipulando el HTML incrustado antes de que el navegador lea las etiquetas meta.

¿Por qué el código de frame busting mediante JavaScript es una defensa poco fiable contra el clickjacking?

El clickjacking incrusta páginas autenticadas en iframe transparentes para secuestrar los clics. La defensa consiste en utilizar los encabezados del servidor X-Frame-Options: DENY o CSP frame-ancestors: none. Configure ambos para obtener cobertura entre navegadores. El frame busting mediante JavaScript no es fiable; utilice siempre encabezados HTTP. frame-ancestors ofrece una lista detallada de orígenes de confianza que X-Frame-Options no puede proporcionar.