iframe nie działa!

Question

Iframe, który odpalam na lokalnym serwerze nie działa, gdy używam takiego linku:

<iframe src="https://www.gry-online.pl/S016.asp?ID=23991" frameborder="0" scrolling="no" width="100%" height="100px"></iframe>

Natomiast taki link:

<iframe src="http://gametofit.com" frameborder="0" scrolling="no" width="100%" height="100px"></iframe>

działa.

Answer 1

Gry-Online.pl odsyłają nagłówek X-Frame-Options z wartością SAMEORIGIN, co oznacza, że jedynie strony z domeny gry-online.pl mogą się nawzajem wsadzać do iframe. To samo robię na swojej stronie comandeer.pl (z tym, że ja dodatkowo ślę te dane jako Content Security Policy).

Jest to zabezpieczenie z jednej strony przed wspomnianym już click-jackingiem, z drugiej – kradzieżą treści i podszywaniem się pod inne serwisy.

Comments

Przy niektórych odnośnikach, po załadowaniu <iframe> zostaje automatycznie przeniesiony pod adres linku. Dlaczego tak się dzieje? Czy także jest to sposób zabezpieczenia?

---

Tak, to z kolei jest zrobione przy pomocy prostego skryptu typu:

if ( top.location.href != location.href ) {
    top.location.href = location.href;
}

 

Answer 2

Niektóre serwisy są zabezpieczane przed tego typu "manewrami", ponieważ istnieje takie zjawisko jak click-jacking:

https://www.youtube.com/watch?v=yNWuxaYlE58