Sayfalarınız başka sitelere gömülebiliyor (clickjacking)

ÖnemOrta

KapsamTüm site

EmekAz

DoğrulamaGüvenlik taraması (haftalık ya da Yeniden tara)

Kural anahtarısec_clickjacking

Kısa cevap

Ana sayfanız ne X-Frame-Options: DENY ya da SAMEORIGIN ne de CSP frame-ancestors yönergesi gönderiyor; bu yüzden herhangi bir site onu görünmez bir iframe içine gömebilir. Saldırgan sizin gerçek düğmelerinizi (giriş, satın alma, silme, onay) kendi yem içeriğinin altına yerleştirir ve ziyaretçinin tıklaması sizin sayfanıza düşer. Tek bir yanıt başlığı bunu çözer.

Neden önemli

Clickjacking ziyaretçinin sitenizdeki mevcut oturumunu kötüye kullanır: bir editör oturum açmışsa gizli bir çerçeve onu tek tıklamayla bir ayarı değiştirmeye, bir şey yayımlamaya ya da onaylamaya yöneltebilir. Çerçeveleme, sayfalarınızı başka birinin sitesinde kendi içeriğiymiş gibi göstermek için de kullanılır. Sıralamaya etkisi yoktur; çerçevelemeyi engellemek Googlebot'u da etkilemez, çünkü Googlebot sayfalarınızı başka sitelerin içinde değil doğrudan yükler.

Glimana bunu nasıl tespit eder

Glimana HTTPS ana sayfanızın yanıt başlıklarını okur. X-Frame-Options DENY ya da SAMEORIGIN ise veya Content-Security-Policy yanıt başlığında * içermeyen bir frame-ancestors yönergesi varsa kontrol geçer. Aksi halde orta önemle başarısız olur. Eskimiş ALLOW-FROM değeri de başarısız olur; CSP meta etiketindeki frame-ancestors sayılmaz, çünkü tarayıcılar onu orada yok sayar.

Nasıl düzeltilir

Dikkat

Sayfalarınız meşru olarak başka yerlerde çerçeve içinde gösteriliyorsa (diğer alan adlarınız, bir iş ortağı portalı, bir sayfa oluşturucu önizlemesi) DENY ya da SAMEORIGIN bunu bozar. Bunun yerine CSP başlığında frame-ancestors 'self' https://partner.example kullanın; X-Frame-Options: ALLOW-FROM güncel tarayıcılarca yok sayılır. İki başlık birlikte varsa frame-ancestors destekleyen tarayıcılar onu izler ve X-Frame-Options başlığını yok sayar.

Glimana'da bulguyu bulun. Güvenlik sayfasını açın; bu kontrol Güvenlik başlıkları grubunda, son taramanın kanıtı başlığının altında. Aynı sorun Sorunlar › Sayfalarınız başka sitelere gömülebiliyor (clickjacking) altında da listelenir.
Düzeltmeyi platformunuzda uygulayın.

WordPressCloudflareÖzel sunucu (Apache / Nginx)

WordPress giriş ve yönetim ekranlarında X-Frame-Options: SAMEORIGIN başlığını zaten gönderir, ama herkese açık sayfalarda göndermez. Tüm site için .htaccess içine ekleyin (Apache, mod_headers): Header always set X-Frame-Options "SAMEORIGIN". Birçok güvenlik eklentisinde aynı seçenek vardır; yalnız tek bir yerde ayarlayın.

Rules › Settings › Managed Transforms: Add security headers seçeneğini açın. Bu, X-Frame-Options: SAMEORIGIN başlığını X-Content-Type-Options: nosniff ve birkaç başka başlıkla birlikte ekler; bunların arasında başka sitelere yönlendiren (referrer) bilgisini göndermeyi durduran Referrer-Policy: same-origin da vardır. Kendi değerleriniz için X-Frame-Options ya da frame-ancestors içeren bir CSP başlığı koyan bir Response Header Transform Rule oluşturun (Rules › Overview › Create rule).

Nginx: add_header X-Frame-Options "SAMEORIGIN" always;
Apache: Header always set X-Frame-Options "SAMEORIGIN"
Modern seçenek, Content-Security-Policy başlığınıza (meta etiketi değil, yanıt başlığı) frame-ancestors 'self' eklemektir.
Glimana'da kontrol edin. Güvenlik sayfasında Yeniden tara düğmesine basın (saatte en çok iki tarama) ya da pazar günkü haftalık taramayı bekleyin; kontrol geçince sorun kapanır.

Düzeltme nasıl doğrulanır

Güvenlik sayfasında Yeniden tara düğmesine basın (ya da pazar günkü haftalık taramayı bekleyin); kontrol geçtiğinde sorun kapanır.