HTTP X-Frame-Options Header

Der HTTP-Header X-Frame-Options ist ein Response-Header, der kontrolliert, ob eine Seite in iframes, frames oder objects eingebettet werden darf. Er verhindert Clickjacking-Angriffe durch transparente iframe-Overlays auf legitimen Websites.

Typ

Response-Header

Syntax

Der Header definiert iframe-Embedding-Regeln.

http 
X-Frame-Options: DENY
X-Frame-Options: SAMEORIGIN

Direktiven

Die Direktiven definieren iframe-Embedding-Policy.

DENY
Seite darf nicht in iframes eingebettet werden, auch nicht von derselben Origin.
SAMEORIGIN
Seite darf nur in iframes von derselben Origin eingebettet werden.
ALLOW-FROM uri
Veraltet, Seite darf nur von spezifischer URI eingebettet werden. Moderne Browser ignorieren diese Direktive.

Beispiele

Nachfolgend finden Sie praktische Anwendungsbeispiele für den X-Frame-Options-Header.

Beispiel 1 Banking Login DENY

http 
GET /login HTTP/1.1
Host: bank.example.com

HTTP/1.1 200 OK
Content-Type: text/html
X-Frame-Options: DENY
Content-Security-Policy: frame-ancestors 'none'

<!DOCTYPE html>...Login Form...

Banking-Login verhindert jegliches iframe-Embedding für maximalen Clickjacking-Schutz.

Beispiel 2 Admin Dashboard SAMEORIGIN

http 
GET /admin/dashboard HTTP/1.1
Host: app.example.com

HTTP/1.1 200 OK
Content-Type: text/html
X-Frame-Options: SAMEORIGIN

<!DOCTYPE html>...Dashboard...

Admin-Bereich erlaubt iframe-Embedding nur von app.example.com für interne Dashboards.

Beispiel 3 Public Content ohne Schutz

http 
GET /blog/article HTTP/1.1
Host: blog.example.com

HTTP/1.1 200 OK
Content-Type: text/html

<!DOCTYPE html>...Blog Article...

Blog-Artikel ohne X-Frame-Options erlaubt freies Embedding, akzeptiert Clickjacking-Risiko für Reichweite.

Clickjacking Attack Prevention Flow

X-Frame-Options Clickjacking-Schutz

Vorteile für die Systemarchitektur

  • Clickjacking-Prävention: Verhindert UI-Redressing-Angriffe durch unsichtbare iframe-Overlays
  • Legacy-Browser-Support: Unterstützt auch ältere Browser ohne Content-Security-Policy frame-ancestors
  • Einfache Implementation: Single-Header-Lösung ohne komplexe CSP-Konfiguration

Spezifikation

RFC 7034 – HTTP Header Field X-Frame-Options https://www.rfc-editor.org/rfc/rfc7034.html

Weitere Spezifikationen

Content-Security-Policy Header, X-Content-Type-Options Header, X-XSS-Protection Header