X-Frame-Options & clickjacking-bescherming

Wat doet hij?

Met DENY of SAMEORIGIN weigert de browser de pagina te tonen binnen een iframe op een ander domein. Moderne sites regelen dit vaak via de frame-ancestors directive in de Content-Security-Policy, die hetzelfde doet maar fijnmaziger is (meerdere toegestane origins mogelijk).

Waarom telt hij mee?

Zonder deze bescherming kan een aanvaller de site onzichtbaar over een eigen pagina heen leggen en bezoekers laten klikken op knoppen (bijvoorbeeld 'account verwijderen' of 'overschrijving bevestigen') zonder dat ze het doorhebben — clickjacking.

Aanbevolen waarde

Veelgemaakte fout

Beide headers weglaten omdat 'de site toch geen gevoelige acties heeft'. Vrijwel elke pagina met een login-knop of formulier is een clickjacking-doelwit.

Configuratievoorbeelden

Kant-en-klare snippet om X-Frame-Options in te stellen, per platform.

add_header X-Frame-Options "SAMEORIGIN" always;