X-Frame-Options

HTTPレスポンスヘッダにX-Frame-Options を指定することで、ウェブブラウザに、コンテンツを iframe 内部に表示してもよいか、指示できます。クリックジャッキング対策として利用します。

読み方

概要

HTTPレスポンスヘッダの X-Frame-Options は、クリックジャッキング対策です。 Internet Explorer は、Internet Explorer 8 から X-Frame-Options に対応しました。

ウェブブラウザが対応していないと、対策として機能しませんが、現行のメジャーなブラウザが対応しています。

X-Frame-Options に対応しているウェブブラウザのバージョンは、以下の通りです。

**X-Frame-Options** の設定と効果
設定値	効果
DENY	他のウェブページ上のframeとiframeでの表示を拒否します。
SAMEORIGIN	トップレベルブラウジングコンテキストが一致した場合のみ、ほかのウェブページのframeとiframeでの表示を許可します。

Apache HTTP Server の設定の例です。

<IfModule mod_headers.c>
	Header append X-FRAME-OPTIONS "DENY"
</IfModule>

HTML に直接記述すべきではないようですが、どうしても記述したい場合は、以下の通りです。

<meta http-equiv="X-FRAME-OPTIONS" content="DENY" />