X-Frame-Options

Was sind X-Frame-Options?

X-Frame-Options ist ein HTTP-Sicherheits-Header, mit dem Website-Betreiber festlegen können, ob und unter welchen Bedingungen eine Webseite innerhalb eines <iframe> eingebettet werden darf. Der Header dient vor allem dem Schutz vor sogenannten Clickjacking-Angriffen.

Beim Clickjacking wird eine Webseite oder ein interaktives Element beispielsweise unsichtbar über eine andere Seite gelegt. Nutzer können dadurch unbeabsichtigt Aktionen ausführen, ohne zu erkennen, welche Inhalte sie tatsächlich anklicken.

Welche Werte gibt es?

Ein HTTP-Sicherheitsheader kann grundsätzlich mit verschiedenen Einstellungen verwendet werden. DENY verhindert, dass eine Seite in einem Frame eingebettet wird. Mit SAMEORIGIN ist das Einbetten nur innerhalb derselben Domain erlaubt.

Eine weitere Einstellung ist ALLOW-FROM. Diese wird von modernen Browsern jedoch nicht mehr zuverlässig unterstützt und gilt daher nicht als zeitgemässe Lösung.

Für detailliertere und flexiblere Regeln wird heute häufig die Content Security Policy (CSP) mit der Direktive frame-ancestors eingesetzt.

Warum sind X-Frame-Options wichtig?

IFrame-Schutz ist eine Massnahme zur Verbesserung der Web-Sicherheit. Der Header kann dazu beitragen, bestimmte Arten von Clickjacking zu verhindern und den Umgang mit eingebetteten Inhalten zu kontrollieren.

Für SEO ist Frame-Schutz kein direkter Rankingfaktor. Dennoch gehört die Absicherung einer Website zu einer professionellen technischen Umsetzung. Sicherheitsprobleme können das Vertrauen der Nutzer beeinträchtigen und sich indirekt auch auf die Qualität und Zuverlässigkeit einer Website auswirken.

Wie wird X-Frame-Options eingesetzt?

Der Header wird auf Serverebene beziehungsweise über die Webserver-Konfiguration gesetzt. Welche Einstellung sinnvoll ist, hängt davon ab, ob und wo Inhalte der Website eingebettet werden sollen.

Bei der technischen Analyse einer Website kann deshalb geprüft werden, ob HTTP-Sicherheitsheader oder eine entsprechende Content Security Policy korrekt eingerichtet sind.