Clickjacking: differenze tra le versioni
Contenuto cancellato Contenuto aggiunto
Riga 54:
Questa soluzione, X-Frame-Options, nel 2013 è stata pubblicata ufficialmente come RFC 7034, senza però diventare uno standard.
X-Frame-Options può assumere tre valori:
DENY: non mostra mai la pagina all'interno di una cornice.
SAMEORIGIN: consente i permessi solo se il documento proviene dalla stessa origine.
ALLOW-FROM dominio: consente i permessi solo se il documento proviene dal dominio specificato.
X-Frame-Options ha però uno svantaggio; gli altri siti non saranno in grado di visualizzare la nostra pagina all'interno della loro, nemmeno se è fidata. Per questa motivazione si ricorre all'inserimento di un div collegato ad uno javascript che controlla se il nostro sito si trova in primo piano(allora non viene attivato), altrimenti, se il nostro sito è coperto da altri layer allora, reindirizzerà l'utente al nostro sito oppure oscurerà il nostro sito.
==== Content Security Policy ====
| |||