Može li se X-Frame-Options koristiti na web stranici za e-trgovinu?

Bok tamo! Kao dobavljača X Framea, često me pitaju mogu li se X - Frame - Options koristiti na web stranici e-trgovine. Pa, zaronimo u to i detaljno istražimo ovu temu.

Prvo, što je to X - Frame - Options? X - Frame - Options je HTTP zaglavlje koje se koristi da se preglednicima kaže treba li im dopustiti da prikazuju stranicu u<okvir>,<iframe>,<ugraditi>, ili<objekt>. To je sigurnosna značajka koja pomaže u sprječavanju napada clickjackinga. Clickjacking je zlonamjerna tehnika kojom napadač prevari korisnika da klikne na nešto što nije ono što misli da klika prekrivajući prozirne ili neprozirne elemente na legitiman sadržaj.

Kada su u pitanju web stranice za e-trgovinu, sigurnost je od najveće važnosti. Kupci dijele svoje osobne podatke, kao što su podaci o kreditnoj kartici i adrese za dostavu, stoga morate biti sigurni da su njihovi podaci sigurni. Tu X - Frame - Options može dobro doći.

Jedna od glavnih prednosti korištenja X - Frame - Options na web-mjestu za e-trgovinu je zaštita vaših kupaca od clickjackinga. Zamislite scenarij u kojem zlonamjerno web mjesto ugrađuje vašu stranicu proizvoda e-trgovine u iframe i prekriva lažni gumb "kupi sada". Korisnik bi mogao pomisliti da klikne legitiman gumb na vašoj web-lokaciji, ali u stvarnosti šalje svoje podatke o plaćanju napadaču. Postavljanjem odgovarajućeg zaglavlja X - Frame - Options, možete spriječiti ugrađivanje svojih stranica na druge stranice, čime se smanjuje rizik od takvih napada.

Postoje tri moguće vrijednosti za zaglavlje X - Frame - Options:

1. PORICI: Ova vrijednost govori pregledniku da ne prikazuje stranicu ni u jednom okviru. Dakle, bez obzira na sve, vaša stranica e-trgovine neće biti ugrađena nigdje drugdje. To je najrestriktivnija opcija i pruža najvišu razinu zaštite od clickjackinga.

2. ISTO PORIJEKLO: S ovom vrijednošću, stranica se može prikazati u okviru samo ako nadređena stranica ima isto podrijetlo (isti protokol, domenu i priključak). Za web mjesto e-trgovine, ovo može biti korisno ako želite dopustiti svojim internim stranicama da ugrađuju druge stranice. Na primjer, možda imate stranicu kataloga proizvoda koja ugrađuje pojedinačne stranice proizvoda. Sve dok su svi na istoj domeni, radit će.

3. DOPUSTITI - OD uri: Ova opcija omogućuje prikaz stranice u okviru samo iz navedenog URI-ja. Dakle, ako imate pouzdanu partnersku stranicu kojoj želite dopustiti ugradnju vašeg sadržaja e-trgovine, možete upotrijebiti ovu vrijednost i navesti njihovu domenu.

Ali nije sve samo sunce i duge. Postoje i neki mogući nedostaci korištenja X - Frame - Options na web stranici e - trgovine.

Jedan je problem to što može ograničiti funkcionalnost vaše stranice. Na primjer, ako želite koristiti usluge trećih strana koje se oslanjaju na iframeove, kao što su widgeti društvenih medija ili pristupnici plaćanja, postavljanje strogog zaglavlja X - Frame - Options moglo bi ih pokvariti. Neki pristupnici plaćanja koriste iframeove za sigurno prikupljanje podataka o plaćanju, a ako vaša stranica imaPORICIpostavka, postupak plaćanja neće funkcionirati.

Drugi problem je što ne podržavaju svi preglednici jednako X - Frame - Options. Iako ga većina modernih preglednika podržava, još uvijek postoje neki stariji preglednici koji bi mogli ignorirati zaglavlje. Dakle, ne možete se osloniti na njega kao na jedinu sigurnosnu mjeru za svoju stranicu e-trgovine.

Sada, razgovarajmo o tome kako možete implementirati X - Frame - Options na svoju web stranicu za e-trgovinu. Većina web poslužitelja omogućuje jednostavno postavljanje HTTP zaglavlja. Na primjer, ako koristite Apache, možete dodati sljedeći redak u svoj.htaccessdatoteka:

Zaglavlje uvijek postavljeno X - Okvir - Opcije "SAMEORIGIN"

Ako koristite Nginx, možete ovo dodati svom bloku poslužitelja:

add_header X - Okvir - Opcije "SAMEORIGIN";

Kao dobavljač X Framea, iz prve sam ruke vidio koliko je važno uspostaviti ravnotežu između sigurnosti i funkcionalnosti. Zato nudimo niz X okvira koji se mogu koristiti na web stranicama e-trgovine. NašeOkvir X Bannerje izvrsna opcija za prikazivanje vaših proizvoda na siguran i vizualno privlačan način. Dizajniran je tako da se lako postavlja i može se prilagoditi stilu vaše marke.

Zaključno, X - Frame - Options se definitivno može koristiti na web stranici e-trgovine, ali to nije jedno rješenje koje odgovara svima. Morate pažljivo razmotriti sigurnosne zahtjeve svoje stranice, potrebe funkcionalnosti i preglednike koje vaši klijenti koriste. Postavljanjem odgovarajućeg zaglavlja X - Frame - Options i korištenjem visokokvalitetnih X okvira poput našegOkvir X Banner, možete stvoriti sigurno i korisničko iskustvo e-trgovine.

Ako ste zainteresirani saznati više o tome kako naši X okviri mogu koristiti vašoj web stranici za e-trgovinu ili ako želite razgovarati o najboljim postavkama X - Frame - Options za svoju tvrtku, nemojte se ustručavati kontaktirati. Ovdje smo da vam pomognemo da najbolje iskoristite svoju online trgovinu i zaštitite podatke svojih kupaca.

Reference:

• OWASP Clickjacking Prevention Cheat Sheet
• MDN web dokumenti - X - okvir - opcije