HTTP-заголовок ответа X-Frame-Options указывает, следует ли браузеру разрешить отображение документа в элементе <frame>, <iframe>, <embed> или <object>. Сайты могут использовать этот заголовок, чтобы предотвращать атаки типа кликджекинг и некоторые межсайтовые утечки, не позволяя встраивать свой контент на другие сайты.

Если этот заголовок не отправляется, а на сайте не реализованы другие механизмы ограничения встраивания (например, директива CSP frame-ancestors), браузер разрешит другим сайтам встраивать этот документ.

Синтаксис

X-Frame-Options: DENY
X-Frame-Options: SAMEORIGIN

Директивы

DENY

Документ нельзя загрузить ни в один фрейм, независимо от источника (встраивание с того же и с другого источника запрещено).

SAMEORIGIN

Документ можно встраивать, только если все родительские фреймы имеют тот же источник, что и сама страница.

ALLOW-FROM origin

Эта директива устарела. Современные браузеры, получившие заголовки ответа с этой директивой, полностью игнорируют заголовок. HTTP-заголовок Content-Security-Policy содержит директиву frame-ancestors, которую следует использовать вместо неё.

Примеры

Настройка Apache

Чтобы настроить Apache на отправку заголовка X-Frame-Options для всех страниц, добавьте следующую директиву в конфигурацию сайта:

Header always set X-Frame-Options "SAMEORIGIN"

Чтобы настроить Apache на установку значения DENY для X-Frame-Options, добавьте следующую директиву в конфигурацию сайта:

Header set X-Frame-Options "DENY"

Настройка Nginx

Чтобы настроить Nginx на отправку заголовка X-Frame-Options, добавьте следующую директиву в конфигурацию http, server или location:

add_header X-Frame-Options SAMEORIGIN always;

Задать для заголовка X-Frame-Options значение DENY можно с помощью следующей директивы:

add_header X-Frame-Options DENY always;

Настройка IIS

Чтобы настроить IIS на отправку заголовка X-Frame-Options, добавьте следующую директиву в файл Web.config вашего сайта:

<system.webServer>
  …
  <httpProtocol>
    <customHeaders>
      <add name="X-Frame-Options" value="SAMEORIGIN" />
    </customHeaders>
  </httpProtocol>
  …
</system.webServer>

Дополнительные сведения см. в статье службы поддержки Microsoft о настройке этого параметра с помощью интерфейса IIS Manager.

Настройка HAProxy

Чтобы настроить HAProxy на отправку заголовка X-Frame-Options, добавьте следующую директиву в конфигурацию front-end, listen или backend:

rspadd X-Frame-Options:\ SAMEORIGIN

В более новых версиях можно использовать альтернативный вариант:

http-response set-header X-Frame-Options SAMEORIGIN

Настройка Express

Чтобы задать значение SAMEORIGIN для X-Frame-Options с помощью Helmet, добавьте следующий код в конфигурацию сервера:

import helmet from "helmet";

const app = express();
app.use(
  helmet({
    xFrameOptions: { action: "sameorigin" },
  }),
);

Спецификации

Совместимость с браузерами

См. также

• Директива Content-Security-Policy frame-ancestors
• Защита от кликджекинга — IEBlog
• Борьба с кликджекингом с помощью X-Frame-Options — IEInternals