Cette recette vous aide à contrôler si votre site web peut être intégré dans une page tierce via une "iframe". En configurant l'en-tête de réponse HTTP X-Frame-Options, vous pouvez interdire cette pratique pour vous protéger contre des attaques comme le "clickjacking".

Pourquoi est-ce important ?

• Protection contre le clickjacking : C'est le principal avantage. En interdisant l'intégration de vos pages, vous empêchez un attaquant de superposer des éléments invisibles par-dessus votre site pour tromper un utilisateur et lui faire cliquer sur des liens malveillants à son insu.
• Maîtrise de votre contenu : Vous décidez où et comment vos pages peuvent être affichées. Cela garantit l'intégrité de votre expérience utilisateur et de votre image de marque.
• Respect des bonnes pratiques : L'utilisation de cet en-tête de sécurité est une pratique standard recommandée pour tous les sites web. Cela renforce la confiance de vos visiteurs.

Les deux modes de restriction

Vous pouvez choisir entre deux politiques de restriction :

• deny : Interdit toute intégration en iframe. Votre page ne pourra être affichée dans une iframe nulle part.
• sameorigin : Autorise l'intégration uniquement si la page parente a la même origine (même nom de domaine) que votre page.

Pour en savoir plus

• X-Frame-Options sur le site MDN : https://developer.mozilla.org/fr/docs/Web/HTTP/Reference/Headers/X-Frame-Options
• Standard de référence (RFC 7034) : https://datatracker.ietf.org/doc/html/rfc7034

Nous proposons différentes autres recettes pour améliorer la sécurité de votre site Web, n'hésitez pas à y jeter un oeil !

Comment installer cette recette sur mon site ?

Pour installer cette recette sur votre site web, suivez les étapes suivantes :

1. Choisissez le mode de restriction : Sélectionnez le mode qui convient à votre site.
   • deny : Interdit toute intégration de vos pages en iframe, y compris sur votre propre site. C'est l'option la plus stricte.
   • sameorigin : Autorise l'intégration uniquement sur les pages de votre propre site (même origine).
2. Installez la recette : Une fois votre choix fait, cliquez sur le bouton d'installation. Une règle configurant l'en-tête X-Frame-Options sera créée pour vous en mode "brouillon".
3. Vérifiez la règle : Examinez la règle générée pour vous assurer qu'elle correspond à vos attentes. Vous pouvez par exemple modifier les conditions qui déclenchent son application.
4. Publiez la règle : Après vérification, publiez la règle. Vos pages seront protégées contre l'intégration non autorisée en iframe quelques instants plus tard.