X-Frame-Optionen ermöglichen es Ihnen, zu steuern, ob Ihre Wissensdatenbank in <frame>, <iframe>, <embed>, oder <object> Tags auf externen Domänen eingebettet werden kann. Das Aktivieren dieser Einstellung fügt eine Sicherheitsschicht hinzu, die unautorisierte Seiten daran hindert, Ihre Wissensdatenbank einzubetten, und Ihre Nutzer vor Clickjacking- und UI-Redressing-Angriffen schützt.
Wann man X-Frame-Optionen verwenden sollte
Aktivieren Sie die X-Frame-Optionen, falls eines der folgenden auf Ihre Wissensdatenbank zutrifft:
- Ihre Wissensdatenbank enthält sensible Dokumentation, oder Sie möchten Leser vor Clickjacking-Versuchen schützen, indem Sie sicherstellen, dass Inhalte nur auf Ihrer eigenen Domain erscheinen.
- Compliance- oder Sicherheitsrichtlinien in Ihrer Organisation erfordern iframe-Embedding-Einschränkungen.
Bevor du anfängst
- Du musst auf Administratorebene Zugriff auf das Knowledge Base-Portal haben, um Sicherheitseinstellungen zu ändern.
- Wenn du iframe-basierte Embeddings auf deinen eigenen Domains verwendest (zum Beispiel deine Wissensdatenbank in ein Support-Portal einbettest), sei dir bewusst, dass das Aktivieren von X-Frame-Optionen diese Embeds ebenfalls blockiert. Überprüfen Sie alle bestehenden iframe-Integrationen, bevor Sie diese Einstellung aktivieren.
Wie man X-Frame-Optionen aktiviert
- Mit der Maus auf Einstellungen () in der linken Navigationsleiste des Knowledge Base-Portals.
- Im Untermenü wählen Sie Wissensdatenbank-Website und navigieren Sie zu Sicherheit.
- Finde den Schalter mit der Bezeichnung "X-Frame aktivieren" und schalte ihn ein.
Das Setting tritt sofort in Kraft. Jede externe Domain, die versucht, Ihre Wissensdatenbank mit <frame>, <iframe>, <embed>, oder <object> Tags einzubetten, wird blockiert.
Beispiel: Wenn deine Wissensdatenbank das ist help.example.com und du verhindern möchtest, dass eine Seite wie support.test.com deine Inhalte in einen iframe einbettet, aktiviere die Optionen "X-Frame aktivieren ".
Best Practices
- Kombinieren Sie sie mit der Content Security Policy (CSP). X-Frame-Optionen funktionieren am besten zusammen mit einem konfigurierten CSP zur Tiefenverteidigung gegen Injektions- und Einbettungsangriffe.
- Testen Sie nach der Aktivierung. Nutze die Entwicklertools deines Browsers (Netzwerk-Tab → Antwortheader
X-Frame-Optionsprüfen) oder ein Tool wie securityheaders.com , um zu bestätigen, dass der Header korrekt angewendet wird.
FAQ
Was ist ein iframe?
Ein iframe (Inline-Frame) ist ein HTML-Element, das ein weiteres HTML-Dokument in die aktuelle Seite einbettet. Da iframes externe Inhalte auf einer vertrauenswürdigen Seite laden können, sind sie ein häufiger Vektor für Clickjacking-Angriffe. X-Frame-Optionen helfen, dieses Risiko zu mindern, indem sie unbefugtes Einbetten blockieren.
Wie kann ich testen, ob die X-Frame-Optionen funktionieren?
Du kannst die Einstellung auf zwei Arten überprüfen:
- Öffnen Sie die Entwicklertools Ihres Browsers, gehen Sie zum Reiter Netzwerk und überprüfen Sie die Antwortheader Ihrer Wissensdatenbankseite. Such nach dem Header
X-Frame-Options. - Verwenden Sie einen Drittanbieter-Header-Checker wie securityheaders.com , um die URL Ihrer Wissensdatenbank zu scannen und zu bestätigen, ob der Header vorhanden ist.
Welche Risiken bestehen darin, X-Frame-Optionen nicht zu aktivieren?
Ohne X-Frame-Optionen kann jede externe Seite deine Wissensdatenbank in einem unsichtbaren iframe einbetten. Angreifer können irreführende Elemente über Ihre Benutzeroberfläche legen, um Nutzer dazu zu bringen, Passwörter preiszugeben, bösartige Links anzuklicken oder andere unbeabsichtigte Handlungen auszuführen – eine Technik namens Clickjacking. Dies kann zu Datenpannen und zum Verlust des Nutzervertrauens führen.
Was ist Clickjacking?
Clickjacking (auch UI-Redressing oder UI-Masking genannt) ist ein Angriff, bei dem ein böswilliger Akteur eine transparente oder getarnte Ebene über eine legitime Webseite legt. Nutzer glauben, mit der echten Seite zu interagieren, aber ihre Klicks werden von den versteckten Elementen des Angreifers erfasst. Konsequenzen können Malware-Downloads, unautorisierte Käufe oder versehentliche Weitergabe sensibler Informationen umfassen. X-Frame-Optionen helfen dabei, dies zu verhindern, indem sie verhindern, dass Ihre Inhalte auf unautorisierten Seiten eingebettet werden.
Was ist eine bösartige Website?
Eine bösartige Website ist eine Seite, die darauf ausgelegt ist, Besuchern oder ihren Geräten Schaden zuzufügen. Diese Seiten können Besucher dazu bringen, Malware herunterzuladen, persönliche Informationen zu stehlen oder betrügerische Aktivitäten durchzuführen. Die Nutzung von X-Frame-Optionen verhindert, dass Ihre Inhalte auf solchen Seiten eingebettet werden, und verbessert Ihre Sicherheitsmaßnahmen gegen diese Risiken.