Las opciones X-Frame te permiten controlar si tu base de conocimientos puede incrustarse en <frame>, <iframe>, <embed>, o <object> etiquetas en dominios externos. Activar esta configuración añade una capa de seguridad que bloquea que sitios no autorizados incrusten tu base de conocimiento, protegiendo a tus usuarios de ataques de clickjacking y reparación de interfaz.
Cuándo usar las opciones de X-Frame
Activa las opciones X-Frame si alguna de las siguientes opciones se aplica a tu base de conocimientos:
- Tu base de conocimientos contiene documentación sensible, o quieres proteger a los lectores de intentos de clickjacking asegurándote de que el contenido solo aparezca en tu propio dominio.
- Las políticas de cumplimiento o seguridad en tu organización exigen restricciones de incrustación de iframes.
Antes de que empieces
- Debes tener acceso a nivel de administrador al portal de la base de conocimientos para modificar la configuración de seguridad.
- Si usas incrustaciones basadas en iframes en tus propios dominios (por ejemplo, incrustando tu base de conocimientos dentro de un portal de soporte), ten en cuenta que activar las opciones de X-Frame también bloqueará esas incrustaciones. Revisa todas las integraciones iframe existentes antes de activar esta configuración.
Cómo activar las opciones de X-Frame
- Pasa el cursor en Configuración () en la barra de navegación izquierda del portal de la base de conocimiento.
- En el submenú, selecciona Sitio de la base de conocimientos y navega a Seguridad.
- Localiza el interruptor etiquetado como Activar opciones de X-Frame y actívalo.
La configuración entra en vigor de inmediato. Cualquier dominio externo que intente incrustar tu base de conocimientos usando <frame>, <iframe>, <embed>, o <object> etiquetas será bloqueado.
Ejemplo: Si tu dominio de base de conocimiento es help.example.com y quieres evitar que un sitio como support.test.com incruste tu contenido en un iframe, activa el interruptor Habilitar opciones X-Frame .
Mejores prácticas
- Combinado con la Política de Seguridad de Contenidos (CSP). Las opciones X-Frame funcionan mejor junto con un CSP configurado para defensa en profundidad contra ataques de inyección y embedding.
- Prueba después de habilitar. Utiliza las herramientas de desarrollo de tu navegador (pestaña de Red → inspecciona los encabezados de respuesta para
X-Frame-Options) o una herramienta como securityheaders.com para confirmar que el encabezado se está aplicando correctamente.
Preguntas frecuentes
¿Qué es un iframe?
Un iframe (marco en línea) es un elemento HTML que incrusta otro documento HTML dentro de la página actual. Como los iframes pueden cargar contenido externo dentro de una página confiable, son un vector común para ataques de clickjacking. Las opciones X-Frame ayudan a mitigar este riesgo bloqueando incrustaciones no autorizadas.
¿Cómo puedo comprobar si las opciones X-Frame funcionan?
Puedes verificar que la configuración está activa de dos maneras:
- Abre las herramientas de desarrollo de tu navegador, ve a la pestaña Red e inspecciona los encabezados de respuesta de tu página de base de conocimientos. Busca el
X-Frame-Optionsencabezado. - Utiliza un comprobador de cabeceras de terceros, como securityheaders.com , para escanear la URL de tu base de conocimientos y confirmar que la cabecera está presente.
¿Cuáles son los riesgos de no activar las opciones X-Frame?
Sin opciones X-Frame, cualquier sitio externo puede incrustar tu base de conocimientos en un iframe invisible. Los atacantes pueden superponer elementos engañosos sobre tu interfaz para engañar a los usuarios y que revelen contraseñas, hagan clic en enlaces maliciosos o realicen otras acciones no intencionadas, una técnica llamada clickjacking. Esto puede provocar filtraciones de datos y pérdida de confianza de los usuarios.
¿Qué es el clickjacking?
El clickjacking (también llamado redressing de la interfaz o enmascaramiento de la interfaz) es un ataque en el que un actor malicioso coloca una capa transparente o disfrazada sobre una página web legítima. Los usuarios creen que están interactuando con la página real, pero sus clics son capturados por los elementos ocultos del atacante. Las consecuencias pueden incluir descargas de malware, compras no autorizadas o divulgación involuntaria de información sensible. Las opciones X-Frame ayudan a evitar esto bloqueando que tu contenido se incruste en sitios no autorizados.
¿Qué es un sitio web malicioso?
Un sitio web malicioso es un sitio diseñado para causar daño a los visitantes o a sus dispositivos. Estos sitios pueden engañar a los visitantes para que descarguen malware, roben información personal o participen en actividades fraudulentas. Utilizar las opciones X-Frame ayuda a evitar que tu contenido se incruste en estos sitios, mejorando tus medidas de seguridad frente a estos riesgos.