Есть сайт с доменом test.ru, есть поддомен one.test.ru. Связь iframe, при 'X-Frame-Options: SAMEORIGIN'?

Question

[Outoverlay]

Есть сайт с поддоменом one.test.ru, есть домен test.ru
Не хочу чтобы сайт запускали с другого домена,
А был доступ лишь, домену и поддоменам.

Если поставить на one.test.ru - 'X-Frame-Options: SAMEORIGIN'
Закроет все доступы, кроме one.test.ru.
Следственно, доступ через test.ru, будет ограничен.
Как быть?

Answer 1

[Mikhail Osher]

X-Frame-Options: ALLOW-FROM test.ru

https://developer.mozilla.org/en-US/docs/Web/HTTP/...

Comments

[Outoverlay]

Проблема, даже если поставлю домен вообще не существующий, к примеру testdsvsdvsdvsdv.ru, содержимое тоже будет доступно.

[Mikhail Osher]

Outoverlay: само собой будет доступно. Это надо ограничивать со стороны сервера. X-Frame-Options идет наряду с CORS - чтобы сузить потенциал "хакеров" в пределах браузера.

[Outoverlay]

Mikhail Osher: странно, header( 'X-Frame-Options: ALLOW-FROM test.ru' ); Закроет содержимое для всех, кроме этого домена.