「X-Frame-Options」の版間の差分

2013年5月2日 (木) 00:30時点における版

HTTPレスポンスヘッダにX-Frame-Options を指定することで、ウェブブラウザに、コンテンツを iframe 内部に表示してもよいか、指示できます。クリックジャッキング対策として利用します。

読み方

HTTPレスポンスヘッダの X-Frame-Options は、クリックジャッキング対策です。 Internet Explorer は、Internet Explorer 8 から X-Frame-Options に対応しました。

ウェブブラウザが対応していないと、対策として機能しませんが、現行のメジャーなブラウザが対応しています。

X-Frame-Options に対応しているウェブブラウザのバージョンは、以下の通りです。

**X-Frame-Options** の設定と効果
設定値	効果
DENY	他のウェブページ上のframeとiframeでの表示を拒否します。
SAMEORIGIN	トップレベルブラウジングコンテキストが一致した場合のみ、ほかのウェブページのframeとiframeでの表示を許可します。

Apache HTTP Server の設定の例です。

<IfModule mod_headers.c>
	Header append X-FRAME-OPTIONS "DENY"
</IfModule>

HTML に直接記述すべきではないようですが、どうしても記述したい場合は、以下の通りです。

<meta http-equiv="X-FRAME-OPTIONS" content="DENY" />

@@ 行44: / 行44: @@
 [[Apache HTTP Server]] の設定の例です。
-<syntaxhighlight lang="bash">
+<syntaxhighlight lang="apache">
 <IfModule mod_headers.c>
-	Header append X-FRAME-OPTIONS “"DENY"
+	Header append X-FRAME-OPTIONS "DENY"
 </IfModule>
 </syntaxhighlight>