Duda
Cual es el funcionamiento de X-Frame-Options (XFO)?
Ambiente
FRAMEWORK - Framework (Línea Protheus) MI - XFrameOptions
Solución
El XFrame Options define el contenido del campo X-Frame-Options (XFO) en el encabezado del protocolo HTTP.
Valores válidos:
DENY La página no se puede mostrar en un marco, independientemente del sitio que intente mostrarla.
SAMEORIGIN (padrão) La página solo se puede mostrar en un marco de la misma fuente que la propia página.
ALLOW-FROM <uri> La página solo se puede mostrar en un marco de la fuente especificada.
Comentarios
El campo de X-Frame-Options (XFO) encabezado de respuesta de protocolo HTTP, definido en RFC7034 - Opciones de marco X de campo de encabezado HTTP , se puede utilizar para indicar si el navegador debe poder mostrar una página en una <frame>, <iframe> o no <object>. Los sitios pueden usarlo para prevenir ataques de este tipo clickjacking, asegurándose de que su contenido no se inserte en otros sitios;
El campo X-Frame-Options se generará en el formato definido en RFC7034 - HTTP Header Field X-Frame-Options ;
Esta clave está relacionada con la clave XFrameOptions en BALANCE_HTTP la sección del archivo de configuración del servidor Broker;
- Si el servidor Broker está en uso, también se debe configurar la clave equivalente a esta, si existe en la sección BALANCE_HTTP del archivo de configuración del servidor Broker,, idealmente ambos con valores iguales;
- Si no se configura, se establece de forma predeterminada en la política SAMEORIGIN;
- Si se configura con la política ALLOW-FROM, <uri> debe ser una dirección previamente validada por el usuario.
Formato del campo X-Frame-Options sin encabezado hacer protocolo HTTP
Como se define en RFC7034 - Opciones de marco X del campo de encabezado HTTP , el campo X-Frame-Options se generará en el siguiente formato:
X-Frame-Options: < DENY | SAMEORIGIN | ALLOW-FROM <uri> >
Dónde:
uri: dirección en formato <protocolo>://<host name/endereço IP>:<porta>.
Ejemplo:
[HTTP]
...
; XFO
XFrameOptions = SAMEORIGIN
...
0 Comentarios