iframe ایمبیڈ چیکر

کیا طے کرتا ہے کہ کیا کوئی پیج اینبڈ ہو سکتا ہے؟

فوری رہنمائی: رسپانس ہیڈر کی ترتیب

اگر آپ اس سائٹ کے مالک ہیں، تو رسپانس ہیڈرز کے ذریعے فریمنگ کو براہ راست کنٹرول کریں۔

نوٹ: CSP کا `frame-ancestors` اب `X-Frame-Options` کی جگہ لے چکا ہے۔ جب دونوں موجود ہوں تو CSP ترجیح دی جاتی ہے — `frame-ancestors` استعمال کریں۔

سرور کیسے پہچانتا ہے کہ کوئی درخواست ifram سے آئی ہے؟

• Sec-Fetch-Dest: document — ٹاپ لیول نیویگیشن، کسی بھی فریم کے اندر نہیں۔
• Sec-Fetch-Dest: iframe — یہ درخواست `<iframe>` عنصر کے اندر لوڈ ہوتی ہے۔
• Sec-Fetch-Dest: frame — پرانے `<frame>` (فریم سیٹ) کے اندر لوڈ ہوتا ہے۔
• Sec-Fetch-Dest: embed / object — `<embed>` یا `<object>` عنصر کے اندر لوڈ ہوتا ہے۔

سرور کنفیگ مثالیں: ifram اینبیڈنگ بلاک کریں

ذیل کے کوڈ سنیپٹس دکھاتے ہیں کہ ہر سرور یا فریم ورک کو کیسے ترتیب دیں تاکہ `iframe` ایمبیڈنگ مکمل طور پر بلاک ہو جائے (X-Frame-Options: DENY + CSP frame-ancestors 'none') — یہ اوپر دی گئی فوری رہنمائی کے تمام طریقوں میں سب سے سخت قدم ہے۔

server {
    location / {
        add_header X-Frame-Options "DENY" always;
        add_header Content-Security-Policy "frame-ancestors 'none'" always;
    }
}

<IfModule mod_headers.c>
    Header always set X-Frame-Options "DENY"
    Header always set Content-Security-Policy "frame-ancestors 'none'"
</IfModule>

app.use((req, res, next) => {
  res.setHeader('X-Frame-Options', 'DENY');
  res.setHeader('Content-Security-Policy', "frame-ancestors 'none'");
  next();
});

// next.config.js
module.exports = {
  async headers() {
    return [
      {
        source: '/:path*',
        headers: [
          { key: 'X-Frame-Options', value: 'DENY' },
          { key: 'Content-Security-Policy', value: "frame-ancestors 'none'" },
        ],
      },
    ];
  },
};

class SetFrameOptions
{
    public function handle(Request $request, Closure $next): Response
    {
        $response = $next($request);
        $response->headers->set('X-Frame-Options', 'DENY');
        $response->headers->set('Content-Security-Policy', "frame-ancestors 'none'");

        return $response;
    }
}

export default {
  async fetch(request) {
    const response = await fetch(request);
    const headers = new Headers(response.headers);
    headers.set('X-Frame-Options', 'DENY');
    headers.set('Content-Security-Policy', "frame-ancestors 'none'");
    return new Response(response.body, { status: response.status, headers });
  },
};

صرف اپنے سائٹ یا مختصر اجازت فہرست (allow-list) کو فریم کرنے کی اجازت دینی ہے، باقی سب کو بلاک کرنے کی بجائے؟ `DENY` کو `SAMEORIGIN` اور `'none'` کو `'self'` یا مخصوص اوریجنز کی فہرست سے بدل دیں — باقی ترتیب ویسی ہی رہے گی۔

مشہور پلیٹ فارمز کے احتیاطی نکات

عمومی ہیڈر قوانین کو جانب رکھتے ہوئے، کچھ معروف پلیٹ فارمز کے اپنے مخصوص رویے ہیں — انہیں جان لینا ضروری ہے، اس سے پہلے کہ آپ صرف ہیڈرز کی بنیاد پر یہ فرض کر لیں کہ کوئی چیز "بلکڈ" (blocked) ہے یا "ایمبیڈ ایبل" (embeddable) ہو سکتی ہے۔

عام استعمال کے موارد

• انٹیگریشن کوڈ لکھنے سے پہلے یہ طے کریں کہ آیا کوئی تھर्ड پارٹی وڈجٹ، ڈیش بورڈ، یا دستاویز اپنے پروڈکٹ میں ایمبیڈ کی جا سکتی ہے یا نہیں۔
• تصدیق کریں کہ آپ کا اپنا سائٹ وہی `X-Frame-Options` یا `CSP frame-ancestors` پالیسی بھیج رہا ہے جس کا آپ ارادہ کرتے ہیں۔
• کلک جیکنگ تحفظ کی ڈیبگنگ کریں: یہ سمجھنے کے لیے کہ کوئی صفحہ آئی فریم کے اندر about:blank یا کسی انکار کے پیغام کو کیوں دکھا رہا ہے۔
• مواد جمع کرنے یا پورٹل انضمام کے دوران متعلقہ URLs کو جمع وار اسکریں کریں، اور نتائج کو دوبارہ جانچنے کے لیے سیشن ہسٹری استعمال کریں۔
• بیرونی ڈیپنڈنسیز (External Dependencies) کی فریمنگ پالیسی کو دستاویز بنا کر سیکیورٹی ریویوز یا پیینیٹریشن ٹیسٹس کے لیے تیاری کریں۔

اکثر پوچھے جانے والے سوالات