Der HTTPX-Frame-OptionsAntwort-Header kann verwendet werden um anzuzeigen, ob ein Browser das Dokument in einem<frame>,<iframe>,<embed> oder<object> rendern darf. Websites können dies nutzen, umClickjacking Angriffe und einigeCross-Site-Leaks zu vermeiden, indem sie sicherstellen, dass ihre Inhalte nicht in andere Sites eingebettet werden.

Wird dieser Header nicht gesendet und hat die Website keine anderen Mechanismen zur Einschränkung des Einbettens implementiert (wie dieframe-ancestors CSP-Direktive), wird der Browser anderen Sites erlauben, dieses Dokument einzubetten.

Syntax

X-Frame-Options: DENYX-Frame-Options: SAMEORIGIN

Direktiven

DENY

Das Dokument kann in keinem Frame geladen werden, unabhängig von der Herkunft (sowohl das Einbetten aus gleicher als auch aus fremder Herkunft wird blockiert).

SAMEORIGIN

Das Dokument kann nur eingebettet werden, wenn alle Vorfahren-Frames die gleicheHerkunft wie die Seite selbst haben.

ALLOW-FROM originVeraltet

Dies ist eine veraltete Direktive. Moderne Browser, die Antwort-Header mit dieser Direktive vorfinden, werden den Header vollständig ignorieren. DerContent-Security-Policy HTTP-Header hat eineframe-ancestors Direktive, die stattdessen verwendet werden sollte.

Beispiele

Apache konfigurieren

Um Apache so zu konfigurieren, dass es denX-Frame-Options Header für alle Seiten sendet, fügen Sie dies zur Konfiguration Ihrer Website hinzu:

Header always set X-Frame-Options "SAMEORIGIN"

Um Apache so zu konfigurieren, dassX-Frame-Options aufDENY gesetzt wird, fügen Sie dies zur Konfiguration Ihrer Website hinzu:

Header set X-Frame-Options "DENY"

Nginx konfigurieren

Um Nginx so zu konfigurieren, dass derX-Frame-Options Header gesendet wird, fügen Sie dies entweder der http-, server-, oder location-Konfiguration hinzu:

add_header X-Frame-Options SAMEORIGIN always;

Sie können denX-Frame-Options Header aufDENY setzen, indem Sie:

add_header X-Frame-Options DENY always;

IIS konfigurieren

Um IIS so zu konfigurieren, dass derX-Frame-Options Header gesendet wird, fügen Sie dies zu IhrerWeb.config Datei hinzu:

<system.webServer>  …  <httpProtocol>    <customHeaders>      <add name="X-Frame-Options" value="SAMEORIGIN" />    </customHeaders>  </httpProtocol>  …</system.webServer>

Für weitere Informationen, siehe denMicrosoft Support-Artikel zur Einstellung dieser Konfiguration über die IIS-Manager Benutzeroberfläche.

HAProxy konfigurieren

Um HAProxy so zu konfigurieren, dass derX-Frame-Options Header gesendet wird, fügen Sie dies Ihrer Frontend-, Listen- oder Backend-Konfiguration hinzu:

rspadd X-Frame-Options:\ SAMEORIGIN

Alternativ, in neueren Versionen:

http-response set-header X-Frame-Options SAMEORIGIN

Express konfigurieren

UmX-Frame-Options aufSAMEORIGIN mithilfe vonHelmet zu setzen, fügen Sie Folgendes zu Ihrer Server-Konfiguration hinzu:

import helmet from "helmet";const app = express();app.use(  helmet({    xFrameOptions: { action: "sameorigin" },  }),);

Spezifikationen

Browser-Kompatibilität

Siehe auch

• Content-Security-Policy Direktiveframe-ancestors
• ClickJacking Abwehrmaßnahmen - IEBlog
• ClickJacking mit X-Frame-Options bekämpfen - IEInternals