Заголовки: CSP.frame-src

Content-Security-Policy: директива frame-src

Базовый уровень Широко доступно

Эта функция хорошо зарекомендовала себя и работает на многих устройствах и в разных версиях браузеров. Она доступна во всех браузерах с августа 2016 года.

Подробнее
Полная таблица совместимости

Директива Content-Security-Policy (CSP) в HTTP-заголовке frame-src определяет допустимые источники для вложенных контекстов просмотра, загружаемых с помощью таких элементов, как <frame> и <iframe>.

Примечание: frame-src позволяет указать, из каких источников могут загружаться iframe на странице. Это отличается от frame-ancestors, которая позволяет указать, какой родительский источник может встраивать страницу.

Версия CSP	1
Тип директивы	Директива загрузки ресурсов
Резервная директива	Если эта директива отсутствует, пользовательский агент будет искать директиву `child-src` (для которой резервной является директива `default-src`).

Синтаксис

Content-Security-Policy: frame-src 'none';
Content-Security-Policy: frame-src <source-expression-list>;

Эта директива может принимать одно из следующих значений:

'none'

Ресурсы этого типа загружать нельзя. Одинарные кавычки обязательны.

<source-expression-list>

Список значений выражений источника, разделённых пробелами. Ресурсы этого типа могут загружаться, если соответствуют любому из указанных выражений источника. Для этой директивы применимы следующие значения выражений источника:

Примеры

Случаи нарушения

При наличии этого заголовка CSP:

Content-Security-Policy: frame-src https://example.com/

Следующий элемент <iframe> блокируется и не загружается:

<iframe src="https://not-example.com/"></iframe>

Спецификации

Спецификация
Политика безопасности содержимого, уровень 3> # директива frame-src>

Совместимость с браузерами

	Компьютеры					Мобильные устройства
	Chrome	Edge	Firefox	Opera	Safari	Chrome для Android	Firefox для Android	Opera для Android	Safari на iOS	Samsung Internet	WebView для Android	WebView на iOS
`frame-src`	25	14	23	15	7	25	23	14	7	1.5	4.4	7

См. также

© 2005–2025 MDN contributors.
Licensed under the Creative Commons Attribution-ShareAlike License v2.5 or later.
https://developer.mozilla.org/en-US/docs/Web/HTTP/Reference/Headers/Content-Security-Policy/frame-src