Verificator iframe

Ce determină dacă o pagină poate fi încorporată?

Ghid rapid: configurarea antetelor de răspuns

Deții site-ul? Controlează încorporarea direct prin anteturile de răspuns.

Notă: X-Frame-Options a fost înlocuit de directiva CSP `frame-ancestors`. Când ambele sunt prezente, CSP prevalează – preferă `frame-ancestors`.

Cum detectează serverul că o cerere provine dintr-un iframe?

• Sec-Fetch-Dest: document — navigare la nivel maxim, nu este încărcat în niciun cadru.
• Sec-Fetch-Dest: iframe — cererea este încărcată în interiorul unui element `<iframe>`.
• Sec-Fetch-Dest: frame — încărcat în interiorul unui `<frame>` tradițional (frameset).
• Sec-Fetch-Dest: embed / object — încărcat în interiorul unui element `<embed>` sau `<object>`.

Exemple de configurare server: blocarea încorporării iframe

Fragmentele de cod de mai jos arată cum să configurezi fiecare server sau framework pentru a bloca complet încorporarea în iframe (`X-Frame-Options: DENY` + `CSP frame-ancestors 'none'`) – cea mai restrictivă opțiune din ghidul rapid de mai sus.

server {
    location / {
        add_header X-Frame-Options "DENY" always;
        add_header Content-Security-Policy "frame-ancestors 'none'" always;
    }
}

<IfModule mod_headers.c>
    Header always set X-Frame-Options "DENY"
    Header always set Content-Security-Policy "frame-ancestors 'none'"
</IfModule>

app.use((req, res, next) => {
  res.setHeader('X-Frame-Options', 'DENY');
  res.setHeader('Content-Security-Policy', "frame-ancestors 'none'");
  next();
});

// next.config.js
module.exports = {
  async headers() {
    return [
      {
        source: '/:path*',
        headers: [
          { key: 'X-Frame-Options', value: 'DENY' },
          { key: 'Content-Security-Policy', value: "frame-ancestors 'none'" },
        ],
      },
    ];
  },
};

class SetFrameOptions
{
    public function handle(Request $request, Closure $next): Response
    {
        $response = $next($request);
        $response->headers->set('X-Frame-Options', 'DENY');
        $response->headers->set('Content-Security-Policy', "frame-ancestors 'none'");

        return $response;
    }
}

export default {
  async fetch(request) {
    const response = await fetch(request);
    const headers = new Headers(response.headers);
    headers.set('X-Frame-Options', 'DENY');
    headers.set('Content-Security-Policy', "frame-ancestors 'none'");
    return new Response(response.body, { status: response.status, headers });
  },
};

Ai nevoie doar să permiți site-ul tău sau o listă scurtă de permise să încorporeze pagina, în loc să blochezi pe toată lumea? Înlocuiește `DENY` cu `SAMEORIGIN`, iar `'none'` cu `'self'` sau o listă explicită de origini – restul configurației rămâne neschimbat.

Capcane / aspecte cunoscute ale platformelor

Indiferent de regulile generale ale antetelor, câteva platforme bine cunoscute au particularități proprii — aspecte pe care merită să le cunoști înainte de a presupune automat „Bloca” sau „Integrabil” bazându-te strict pe antete.

Scenarii frecvente de utilizare

• Decide dacă un widget, un panou de control sau un document terț poate fi integrat în produsul tău înainte de a scrie codul de integrare.
• Verifică faptul că site-ul tău transmite politica X-Frame-Options sau CSP frame-ancestors pe care ai configurat-o inițial.
• Debugați protecția împotriva clickjacking-ului: înțelegeți de ce o pagină afișează `about:blank` sau un mesaj de refuz într-un iframe.
• Analizați în lot URL-urile candidate în timpul agregării conținutului sau a integrării unui portal, folosind istoricul sesiunii pentru a revedea rezultatele.
• Pregătiți-vă pentru audituri de securitate sau teste de penetrare documentând politica de utilizare a iframelor pentru dependențele externe.

Întrebări frecvente (FAQ)