Существует две возможные директивы для X-Frame-Options:

X-Frame-Options: DENY
X-Frame-Options: SAMEORIGIN

Если вы указываете DENY, не только попытки браузера загрузить страницу в фрейм со стороннего сайта будут неудачными, но и попытки с того же сайта. С другой стороны, если вы указываете SAMEORIGIN, вы всё ещё можете использовать страницу в фрейме, если сайт, вставляющий её в фрейм, тот же, что и сайт, который подаёт страницу.

DENY

Страница не может быть отображена во фрейме, независимо от сайта, пытающегося это сделать.

SAMEORIGIN

Страница может быть отображена только если все предковые фреймы имеют тот же домен, что и сама страница.

ALLOW-FROM=url Устаревший

Это устаревшая директива, которая больше не работает в современных браузерах. (Использование её даст тот же результат, что и отсутствие заголовка.) Не используйте её. Заголовок HTTP Content-Security-Policy имеет директиву frame-ancestors, которую вы можете использовать вместо этого.

Чтобы настроить Apache на отправку заголовка X-Frame-Options для всех страниц, добавьте это в конфигурацию вашего сайта:

Header always set X-Frame-Options "SAMEORIGIN"

Чтобы настроить Apache на установку заголовка X-Frame-Options DENY, добавьте это в конфигурацию вашего сайта:

Header set X-Frame-Options "DENY"

Чтобы настроить Nginx на отправку заголовка X-Frame-Options заголовка, добавьте это в конфигурацию http, server или location:

add_header X-Frame-Options SAMEORIGIN always;

Чтобы настроить IIS на отправку заголовка X-Frame-Options заголовка, добавьте это в файл вашего сайта Web.config:

<system.webServer>
  …

  <httpProtocol>
    <customHeaders>
      <add name="X-Frame-Options" value="SAMEORIGIN" />
    </customHeaders>
  </httpProtocol>

  …
</system.webServer>

Или ознакомьтесь со статьёй поддержки Microsoft о настройке этой конфигурации с помощью интерфейса IIS Manager.

Чтобы настроить HAProxy на отправку заголовка X-Frame-Options заголовка, добавьте это в конфигурацию front-end, listen или backend:

rspadd X-Frame-Options:\ SAMEORIGIN

В альтернативном варианте, в более новых версиях:

http-response set-header X-Frame-Options SAMEORIGIN

Чтобы настроить Express на отправку заголовка X-Frame-Options заголовка, вы можете использовать helmet, который использует frameguard для установки заголовка. Добавьте это в вашу конфигурацию сервера:

const helmet = require('helmet');
const app = express();
app.use(helmet.frameguard({ action: 'SAMEORIGIN' }));

Альтернативно, вы можете использовать frameguard напрямую:

const frameguard = require('frameguard')
app.use(frameguard({ action: 'SAMEORIGIN' }))

• Content-Security-Policy директива frame-ancestors
• Защита от ClickJacking - IEБлог
• Борьба с ClickJacking с помощью X-Frame-Options - IEInternals