%

X-Frame-Options (header)

Explications sur l'entête HTTP nommée X-Frame-Options

Détails relatifs à l'article

Article publié, le
et modifié le
Une minute de lecture
Cet article contient 193 mots.

Identifiant de l'article : tag:doc.huc.fr.eu.org,2017-08-16:/fr/web/http/x-frame-options

Source brute de l'article :
Commit version : 9bf3d7b

Cet article est aussi disponible sur le protocole Gemini :
gemini://gmi.it-log.fr.eu.org/fr/web/http/x-frame-options.gmi

Définition

X-Frame-Options est une entête HTTP qui permet de contrôler comment les sites internet externes peuvent “encapsuler” le vôtre.

L’usage de cette entête est recommandé, d’autant qu’elle est simple à gérer et son bénéfice de sécurité est important.

Cette entête remplace l’historique entête Frame-Options, et est elle-même remplacée par la directive frame-ancestors de l’entête CSP !

Elle fait partie des entêtes de base à générer pour protéger son site web, au même titre que l’usage de HSTS, et des autres entêtes X-*-Options, telles que X-Content-Type, X-XSS-Protections,…

Options

3 options sont permises :

  • DENY : interdit aux autres de mettre votre site dans une iframe. C’est l’option recommandée !
  • SAMEORIGIN : permet d’être mis dans une frame, à-partir de votre propre site.
  • ALLOW-FROM uri : Cette option est dépréciée - il est clairement recommandée de ne plus l’utiliser au profit de la directive frame-ancestors gérée par l’entête CSP.

Exemples

X-Frame-Options: DENY

nginx

add_header X-Frame-Options "DENY" always;

relayd

Et, oui, malheureusement, httpd ne peut pas gérer les entêtes, ce sera son binôme relayd(8) que l’on utilisera !

match response header set "X-Frame-Options" value "DENY"

Documentations

Enjoy-ID!
Enjoy-IT!