iframe एम्बेड चेकर

क्या निर्धारित करता है कि कोई पेज एम्बेड किया जा सकता है या नहीं?

त्वरित मार्गदर्शिका: रिस्पॉन्स हेडर सेटअप

यदि आप साइट के संचालक हैं, तो रेस्पॉन्स हेडर्स के माध्यम से फ्रेमिंग पर सीधा नियंत्रण रखें।

महत्वपूर्ण: X-Frame-Options हेडर अब CSP के frame-ancestors निर्देश द्वारा प्रतिस्थापित हो चुका है। जब दोनों हेडर्स उपलब्ध होते हैं, तो CSP की प्राथमिकता होती है — इसलिए frame-ancestors का उपयोग करना बेहतर है।

सर्वर कैसे पहचानता है कि अनुरोध एक iframe से आ रहा है?

• Sec-Fetch-Dest: document — यह टॉप-लेवल नेविगेशन दर्शाता है, यानी पेज किसी iframe या फ्रेम के अंदर नहीं, बल्कि पूरी विंडो में खुल रहा है।
• Sec-Fetch-Dest: iframe — अनुरोध किसी `<iframe>` तत्व के अंदर लोड हो रहा है।
• Sec-Fetch-Dest: frame — अनुरोध पुराने `<frame>` (frameset) तत्व के अंदर लोड हो रहा है।
• Sec-Fetch-Dest: embed / object — अनुरोध किसी `<embed>` या `<object>` तत्व के अंदर लोड हो रहा है।

सर्वर कॉन्फ़िगरेशन उदाहरण: iFrame एम्बेडिंग को ब्लॉक करना

नीचे दिए गए कोड स्निपेट यह दिखाते हैं कि अपने सर्वर या फ्रेमवर्क को ऐसे कॉन्फ़िगर करने के लिए क्या बदलाव करने चाहिए ताकि iframe एम्बेडिंग पूरी तरह रोके जाए (X-Frame-Options: DENY + CSP frame-ancestors 'none') — यह ऊपर दी गई क्विक गाइड में बताए गए विकल्पों में से सबसे सुरक्षित माना जाता है।

server {
    location / {
        add_header X-Frame-Options "DENY" always;
        add_header Content-Security-Policy "frame-ancestors 'none'" always;
    }
}

<IfModule mod_headers.c>
    Header always set X-Frame-Options "DENY"
    Header always set Content-Security-Policy "frame-ancestors 'none'"
</IfModule>

app.use((req, res, next) => {
  res.setHeader('X-Frame-Options', 'DENY');
  res.setHeader('Content-Security-Policy', "frame-ancestors 'none'");
  next();
});

// next.config.js
module.exports = {
  async headers() {
    return [
      {
        source: '/:path*',
        headers: [
          { key: 'X-Frame-Options', value: 'DENY' },
          { key: 'Content-Security-Policy', value: "frame-ancestors 'none'" },
        ],
      },
    ];
  },
};

class SetFrameOptions
{
    public function handle(Request $request, Closure $next): Response
    {
        $response = $next($request);
        $response->headers->set('X-Frame-Options', 'DENY');
        $response->headers->set('Content-Security-Policy', "frame-ancestors 'none'");

        return $response;
    }
}

export default {
  async fetch(request) {
    const response = await fetch(request);
    const headers = new Headers(response.headers);
    headers.set('X-Frame-Options', 'DENY');
    headers.set('Content-Security-Policy', "frame-ancestors 'none'");
    return new Response(response.body, { status: response.status, headers });
  },
};

यदि आप सभी को ब्लॉक करने के बजाय केवल अपनी साइट या कुछ विशिष्ट origins को एम्बेड करने की अनुमति देना चाहते हैं, तो DENY को SAMEORIGIN और 'none' को 'self' या origins की स्पष्ट लिस्ट से बदल दें — कॉन्फ़िगरेशन का बाकी सब कुछ वैसा ही रहेगा।

प्रमुख प्लेटफ़ॉर्म सावधानियाँ

सामान्य हेडर नियमों को छोड़कर, कुछ प्रमुख प्लेटफ़ॉर्म की अपनी विशेषताएं होती हैं — हेडर्स से अकेले "ब्लॉक" या "एम्बेड योग्य" मानने से पहले इन बातों को जानना उपयोगी होगा।

सामान्य उपयोग के मामले

• इंटीग्रेशन कोड लिखने से पहले यह तय करें कि आपके अपने उत्पाद में थर्ड-पार्टी विजेट, डैशबोर्ड या दस्तावेज़ को एम्बेड किया जा सकता है या नहीं।
• पुष्टि करें कि आपकी साइट उसी X-Frame-Options या CSP frame-ancestors नीति को भेज रही है जिसकी आप अपेक्षा रखते हैं।
• क्लिकजैक सुरक्षा का त्रुटि निवारण करें: समझें कि कोई पेज iframe के अंदर about:blank या अस्वीकृति संदेश क्यों दिखा रहा है।
• सामग्री संग्रहण या पोर्टल एकीकरण के दौरान, सत्र इतिहास का उपयोग करके प्रस्तावित URL को बैच मोड में स्क्रीन करें और परिणामों पर पुनः विचार करें।
• बाहरी निर्भरताओं की फ्रेमिंग नीति को दस्तावेज़बद्ध करके सुरक्षा समीक्षा या पेनेट्रेशन टेस्ट के लिए तैयार हों।

सामान्य प्रश्न (FAQs)