X-Frame-Options レスポンスヘッダ

X-Frame-Options HTTP レスポンスヘッダは、ブラウザがページを <frame> または <iframe> の内部に表示することを許可するかを示すことができます。サイトはこのレスポンスヘッダを、クリックジャッキング攻撃を防止するために使用することができます。これは、自分のサイトのコンテンツが他のサイトに埋め込まれないと保証することによります。

X-Frame-Options を用いる

X-Frame-Options には、3 種類の値を設定できます:

DENY

サイト側の意図に関わらず、ページをフレーム内に表示することはできません。

SAMEORIGIN

自身と生成元が同じフレーム内に限り、ページを表示することができます。

ALLOW-FROM uri

指定された生成元に限り、ページをフレーム内に表示できます。

言い換えると DENY を指定した場合は、別のサイトのページをフレーム内に読み込むことだけでなく、同じサイトのページをフレーム内に読み込むことも不可能になります。一方 SAMEORIGIN を指定した場合は、フレームとフレーム内に読み込むページが同じサイトにある限り、フレーム内にページを読み込むことが可能です。

Apache の設定

Apache で X-Frame-Options ヘッダをすべてのページで送信するように設定するには、以下の記述をサイトの設定ファイルに追加してください:

Header always append X-Frame-Options SAMEORIGIN

nginx の設定

nginx で X-Frame-Options ヘッダを送信するには、以下の記述を http、server、 location のいずれかの設定に追加してください:

add_header X-Frame-Options SAMEORIGIN;

結果

現状では、X-Frame-Options ヘッダで拒否されている場合にフレーム内へページを読み込もうとすると、 Firefox は about:blank ページをフレーム内に表示します。将来は、about:blank に代わって何らかのエラーメッセージが表示される予定です。

ブラウザ実装状況

関連情報

• ClickJacking Defenses - IEBlog
• Combating ClickJacking with X-Frame-Options - IEInternals
• IETF Draft