Как разрешить открывать мой сайт в iframe для конкретных сайтов?

Question

[dev123]

Мне нужно разрешить определенным сайтам открывать мой сайт в iframe. Остальным запретить. Прочитал что вроде бы можно сделать это с помощью Content-Security-Policy, но не совсем понимаю как. Может еще есть какие-то способы?

Answer 1

[dev123]

Нашел более правильный ответ.

X-Frame-Options считается устаревшим заголовком.

Рекомендуют использовать такой:
Content-Security-Policy "frame-ancestors 'self' https://www.example.org";
где https://www.example.org - сайт, на котором разрешено открытие iframe с вашим сайтом

Answer 2

[Сергей Горячев]

Запрет iframe через заголовок X-Frame-Options

https://soltyk.ru/koding-i-cms/bezopasnost/header-...

Серверный заголовок X-Frame-Options может принимать три значения, они сообщают что именно мы хотим запретить:

• DENY - запрет отображения Вашего сайта в iframe для всех, в том числе и для вашего сайта.
  
• SAMEORIGIN - запрещает отображать ваш сайт в iframe для всех, кроме вас самих (вашего сайта).
  
• ALLOW-FROM uri - запрещает отображать сайт в iframe всем, кроме указанного сайта
  

Answer 3

[Надим]

X-Frame-Options не является панацеей. Лучше спрячьте на своем сайте следующий JavaScript-код:

if (window != window.top) {
    document.body.innerHTML = '';
}

Comments

[wisgest]

Во-первых, надо «разрешить определенным сайтам», а не «запретить всем», а, во-вторых, похоже, что это перестаёт работать (вызывает ошибку при попытке доступа к window.top, если оно действительно с другого домена).

[Надим]

wisgest, действительно, здесь ограничения по доменам никак не впишешь. Но по крайней мере, если надо запретить всем, такой простой запрет очень хорош - недавно написал бота для ВК и если убрать заголовок X-Frame-Options не составило проблем, то вот такую банальную проверку в самом коде обойти не удалось, так как браузерные расширения не имеют доступа к телу ответа, пришлось извращаться.