X-Frame-opties laten je bepalen of je kennisbank kan worden ingebed in <frame>, <iframe>, <embed>, of <object> tags op externe domeinen. Het inschakelen van deze instelling voegt een beveiligingslaag toe die ongeautoriseerde sites blokkeert om je kennisbank in te sluiten, waardoor je gebruikers worden beschermd tegen clickjacking en UI-redressing-aanvallen.
Wanneer gebruik te maken van X-Frame-opties
Schakel X-Frame-opties in als een van de volgende punten van toepassing is op je kennisbasis:
- Je kennisbank bevat gevoelige documentatie, of je wilt lezers beschermen tegen clickjacking-pogingen door ervoor te zorgen dat content alleen op je eigen domein verschijnt.
- Compliance- of beveiligingsbeleid in uw organisatie vereisen beperkingen voor iframe-embedding.
Voordat je begint
- Je moet beheerderstoegang hebben tot het kennisbankportaal om beveiligingsinstellingen aan te passen.
- Als je iframe-gebaseerde embedding gebruikt op je eigen domeinen (bijvoorbeeld door je kennisbank in een supportportaal in te embeddingen), wees je ervan bewust dat het inschakelen van X-Frame-opties die embeds ook blokkeert. Bekijk alle bestaande iframe-integraties voordat je deze instelling inschakelt.
Hoe je X-Frame-opties inschakelt
- Beweeg je muis op Instellingen () in de linker navigatiebalk van het kennisbankportaal.
- Selecteer in het submenu Kennisbanksite en navigeer naar Beveiliging.
- Zoek de schakelaar met het label X-Frame opties inschakelen en zet hem aan.
De instelling treedt direct in werking. Elke externe domein die probeert je kennisbank in te bedden met <frame>, <iframe>, <embed>, of <object> tags wordt geblokkeerd.
Voorbeeld: Als je kennisbankdomein dat is help.example.com en je wilt voorkomen dat een site zoals support.test.com je content in een iframe inbeddingt, zet dan de schakelaar X-Frame Inschakelen in.
Best practices
- Combineer met Content Security Policy (CSP). X-Frame-opties werken het beste samen met een geconfigureerde CSP voor diepteverdediging tegen injectie- en embedding-aanvallen.
- Test na het mogelijk maken. Gebruik de ontwikkelaarstools van je browser (tabblad Netwerk → de responsheaders
X-Frame-Optionsinspecteren) of een tool zoals securityheaders.com om te bevestigen dat de header correct wordt toegepast.
FAQ
Wat is een iframe?
Een iframe (inline frame) is een HTML-element dat een ander HTML-document in de huidige pagina inbedden. Omdat iframes externe inhoud binnen een vertrouwde pagina kunnen laden, zijn ze een veelvoorkomende vector voor clickjacking-aanvallen. X-Frame-opties helpen dit risico te beperken door ongeautoriseerde embedding te blokkeren.
Hoe kan ik testen of de X-Frame-opties werken?
Je kunt op twee manieren controleren of de instelling actief is:
- Open de ontwikkelaarstools van je browser, ga naar het tabblad Netwerk en bekijk de responsheaders van je kennisbankpagina. Zoek naar de
X-Frame-Optionskop. - Gebruik een headerchecker van derden zoals securityheaders.com om de URL van je kennisbank te scannen en te bevestigen dat de header aanwezig is.
Wat zijn de risico's van het niet inschakelen van X-Frame-opties?
Zonder X-Frame-opties kan elke externe site je kennisbank inbedden in een onzichtbaar iframe. Aanvallers kunnen misleidende elementen over je interface leggen om gebruikers te misleiden zodat ze wachtwoorden prijsgeven, kwaadaardige links aanklikken of andere onbedoelde acties uitvoeren — een techniek die clickjacking wordt genoemd. Dit kan leiden tot datalekken en verlies van het vertrouwen van gebruikers.
Wat is clickjacking?
Clickjacking (ook wel UI redressing of UI masking genoemd) is een aanval waarbij een kwaadwillende een transparante of vermomde laag over een legitieme webpagina plaatst. Gebruikers denken dat ze met de echte pagina interacteren, maar hun klikken worden vastgelegd door de verborgen elementen van de aanvaller. De gevolgen kunnen het downloaden van malware, ongeautoriseerde aankopen of onbedoelde openbaarmaking van gevoelige informatie zijn. X-Frame-opties helpen dit te voorkomen door te blokkeren dat je content niet wordt ingebed op ongeautoriseerde sites.
Wat is een kwaadaardige website?
Een kwaadaardige website is een site die is ontworpen om bezoekers of hun apparaten schade toe te brengen. Deze sites kunnen bezoekers misleiden om malware te downloaden, persoonlijke informatie te stelen of frauduleuze activiteiten te ondernemen. Het gebruik van X-Frame-opties helpt voorkomen dat je content op zulke sites wordt ingebed, waardoor je beveiligingsmaatregelen tegen deze risico's worden versterkt.