X-Frame-Options

概要

X-Frame-Optionsとは、HTTPヘッダのフィールド(項目)の一つで、Webページを別のページ中のiframeタグやembedタグ、object タグから参照して埋め込み表示するのを許可するか指定するもの。

X-Frame-Optionsに対応したWebブラウザで閲覧する際、Webサーバ側が「X-Frame-Options: DENY」を指定すると、他のページからこれらの要素を介して埋め込み表示することは拒否される。同じサイトの別のページであっても拒否される。

一方、「X-Frame-Options: SAMEORIGIN」を指定すると、同じWebサイトを構成する別のページへの埋め込みは許可され、外部の他のサイトへの埋め込みは拒否される。サイトが同じ（同一オリジン）であるとは、厳密にはホスト名とポート番号、URIスキーム（http://かhttps://か）がすべて一致していることを表す。

X-Frame-Options自体を指定しなければ、どのサイトからでも埋め込み表示が可能となる。以前は特定のサイトからのみ埋め込みを受け付ける「ALLOW-FROM」という設定値も存在したが、廃止された。外部からの埋め込み表示を拒否することで、クリックジャッキング攻撃などを防ぎやすくなるとされる。

(2021.10.31更新)