ابزار بررسی iframe

چه عواملی بر قابلیت تعبیه یک صفحه تأثیر می‌گذارند؟

راهنمای سریع: تنظیم هدرهای پاسخ

اگر مالک وب‌سایت هستید، کنترل نمایش در iframe را مستقیماً از طریق هدرهای پاسخ مدیریت کنید.

نکته: هدر CSP frame-ancestors جایگزین مدرن‌تر برای X-Frame-Options است. هنگامی که هر دو به‌کار رفته باشند، اولویت با CSP است — استفاده از frame-ancestors توصیه می‌شود.

سرور چگونه تشخیص می‌دهد درخواست از داخل یک iframe ارسال شده است؟

• Sec-Fetch-Dest: document — ناوبری سطح بالا (اصلی)، نه درون هیچ چارچوبی.
• Sec-Fetch-Dest: iframe — درخواست درون المان <iframe> بارگذاری می‌شود.
• Sec-Fetch-Dest: frame — بارگذاری درون تگ قدیمی <frame> (frameset).
• Sec-Fetch-Dest: embed / object — بارگذاری درون المان <embed> یا <object>.

نمونه‌هایی از تنظیمات سرور: مسدودسازی تعبیه iframe

قطعه‌کدهای زیر نحوه پیکربندی هر سرور یا فریم‌ورک برای مسدودسازی کامل نمایش در iframe (X-Frame-Options: DENY + CSP frame-ancestors 'none') را نشان می‌دهند — این گزینه سخت‌گیرانه‌ترین حالت از میان راهکارهای راهنمای سریع بالاست.

server {
    location / {
        add_header X-Frame-Options "DENY" always;
        add_header Content-Security-Policy "frame-ancestors 'none'" always;
    }
}

<IfModule mod_headers.c>
    Header always set X-Frame-Options "DENY"
    Header always set Content-Security-Policy "frame-ancestors 'none'"
</IfModule>

app.use((req, res, next) => {
  res.setHeader('X-Frame-Options', 'DENY');
  res.setHeader('Content-Security-Policy', "frame-ancestors 'none'");
  next();
});

// next.config.js
module.exports = {
  async headers() {
    return [
      {
        source: '/:path*',
        headers: [
          { key: 'X-Frame-Options', value: 'DENY' },
          { key: 'Content-Security-Policy', value: "frame-ancestors 'none'" },
        ],
      },
    ];
  },
};

class SetFrameOptions
{
    public function handle(Request $request, Closure $next): Response
    {
        $response = $next($request);
        $response->headers->set('X-Frame-Options', 'DENY');
        $response->headers->set('Content-Security-Policy', "frame-ancestors 'none'");

        return $response;
    }
}

export default {
  async fetch(request) {
    const response = await fetch(request);
    const headers = new Headers(response.headers);
    headers.set('X-Frame-Options', 'DENY');
    headers.set('Content-Security-Policy', "frame-ancestors 'none'");
    return new Response(response.body, { status: response.status, headers });
  },
};

فقط می‌خواهید سایت خودتان یا لیست کوچکی از دامنه‌های مجاز را برای نمایش صفحه اجازه دهید و بقیه را مسدود کنید؟ مقدار DENY را به SAMEORIGIN و 'none' را به 'self' یا لیستی صریح از origin‌ها تغییر دهید — مابقی تنظیمات بدون تغییر باقی می‌مانند.

نکات مهم درباره پلتفرم‌های خاص

فراتر از قوانین عمومی هدرها، برخی پلتفرم‌های شناخته‌شده قواعد یا رفتارهای خاص خود را دارند؛ دانستن این موارد پیش از آنکه صرفاً بر اساس هدرها فرض کنید محتوایی «مسدود» یا «قابل تعبیه» است، ضروری است.

موارد کاربرد رایج

• پیش از نوشتن کد یکپارچه‌سازی، مشخص کنید که آیا ویجت، داشبورد یا سند شخص ثالث قابل تعبیه در محصول شماست یا خیر.
• اطمینان حاصل کنید که سایت شما دقیقاً همین سیاست `X-Frame-Options` یا `CSP frame-ancestors` مد نظر را ارسال می‌کند.
• عیب‌یابی مکانیزم‌های محافظت در برابر کلیک‌جکینگ: بررسی کنید که چرا یک صفحه درون قاب (iframe) به جای محتوا، تنها فضای خالی (about:blank) یا پیامی مبنی بر رد درخواست را نشان می‌دهد.
• بررسی گروهی آدرس‌های URL انتخابی در فرآیند تجمیع محتوا یا یکپارچه‌سازی پورتال و امکان مرور مجدد نتایج از طریق تاریخچه نشست.
• تهیه مستندات مربوط به سیاست قاب‌بندی (Framing Policy) وابستگی‌های خارجی جهت آماده‌سازی برای ارزیابی‌های امنیتی یا تست نفوذ.

پرسش‌های متداول