仕様書

用法

[16] HTML では iframe 要素などによってある文書の中に他の文書を埋め込むことができますが、 これを悪用し、利用者が気づかない内に埋め込まれた文書内をクリックさせ、 利用者が意図しない動作を引き起こさせる「クリックジャッキング」攻撃があります。 これを防ぐため、自身を他のサイトに埋め込んで表示することを拒む X-Frame-Options: ヘッダーを指定することができます。

値

[19] 値としては、次の3種類のいずれか1つを指定できます >>12。これらは大文字・小文字不区別です >>12。

[20] DENY の場合、フレーム内に表示してはなりません >>12。

[21] SAMEORIGIN の場合、異なる起源のページのフレーム内に表示してはなりません >>12。起源が同じか判断できなければ、 DENY のように扱わなければなりません >>12。

[23] 同じ起源かどうかの判定の対象がフレームを含むページであるWebブラウザーと、 最上位閲覧文脈であるWebブラウザーや、先祖閲覧文脈すべてのWebブラウザーがあります >>12。

[25] ALLOW-ORIGIN の後にスペースが続き、その後に serialized-origin (妥当な起源) が続く場合、最上位閲覧文脈が指定された起源でなければ、表示してはなりません >>12。

[26] 「ドメインアドレスより後のデータ (/ より後のデータ) は無視される >>12」とあります。 起源だけでなく URL path が指定されていた場合ということなのでしょうか。意図が不明瞭です。

[27] 起源の比較は RFC 6454 に従い行うべきです >>12。 しかし既存の実装はポートの違いを無視しています >>12。

[29] ここでいうスペースは、1文字以上の SP や HTAB ですが、1文字の SP とするべきです >>12。また解釈前や下流への転送前に1文字の SP にまとめるか、 SP に置き換えるべきです >>12。

適用対象

[30] フレームの表示には例えば次のものが含まれます: iframe, frame, object, embed, applet >>12。 プラグイン内の表示も含まれます >>12。

[31] HTML の表示が対象 >>12 と書かれていますが、 XML など他のものも対象となっているはずです (そうでないと意味がありません)。

[42] 表示は行われませんが、 HTTP 層の処理は行われます。例えば Set-Cookie: ヘッダーがあれば、その処理は通常通り行われます。

処理モデル

[32] フレームの表示が禁止されていれば、ただちにダウンロードや構文解析を中止 (abort) して構いません。 ブラウザーはできるだけすぐに「フレームなし」ページにリダイレクトするべきです。 そのページには URL を表示したり、新しい窓で開くオプションを提示したりできます。 実装によっては空のフレームを表示するだけだったりします。 >>12

[40] CSP の frame-ancestors が指定されていれば、そちらが優先されるべきです。 X-Frame-Options は無視されるべきです。 >>38

キャッシュ

[34] X-Frame-Options のキャッシュは推奨されません。現状どのWebブラウザーもキャッシュしていません。 >>12

[35] サーバーは要求元 (の Origin: など) を見て X-Frame-Options: を変えることがあるので、キャッシュするべきではありません >>12。

実装

歴史