セキュリティ・認証 / Webセキュリティ
XFOとは
X-Frame-Options。ページをframe内に表示してよいかを制御するHTTPヘッダーです。
用語集内のカードを見る詳細な図解
保護対象ページページを返す
XFOヘッダーDENY/SAMEORIGINを示す
埋め込み元frame内表示を試みる
ブラウザ判断許可条件外なら表示を拒否
- CSP frame-ancestorsと比較
- 必要な埋め込みを棚卸し
- 古いブラウザ影響を見る
この記事で学べること
XFOを、定義だけで終わらせず、現場で出てくる場面、確認材料、見落としやすい点、関連語とのつながりまで順に確認できます。
- XFOを読むときの前提
- クリックジャッキング対策として見る
- CSPとの役割を分ける
- 正規の埋め込みを壊さない
- 変更証跡と引き継ぎ
実務メモ
正規のiframe利用とクリックジャッキング対策を分ける
どこで効くか
XFOはログイン後画面、管理画面、承認、決済、設定変更など、frame内表示を悪用されたくないページで効きます。社内ポータルやSaaS埋め込みにも影響します。
残す証跡
証跡には対象URL、X-Frame-Options値、CSP frame-ancestors値、正規の埋め込み元、確認ブラウザ、拒否時の表示結果、例外理由を残します。
避けたい誤解
DENYを一律適用すると、正規のiframe連携やダッシュボード埋め込みが壊れます。CSP frame-ancestorsと矛盾すると、環境により挙動が違って調査しにくくなります。
まず確認すること
- iframe利用箇所を棚卸しする
- XFOとframe-ancestorsを突合する
- 重要操作ページで拒否挙動を確認する
XFOを読むときの前提
XFO（X-Frame-Options）は、ページをframeやiframe内に表示してよいかを制御するHTTPヘッダーです。クリックジャッキング対策として、DENYやSAMEORIGINを使います。
実務では、保護対象ページ、正規の埋め込み元、DENY/SAMEORIGINの選択、CSP frame-ancestorsとの整合、古いブラウザの扱いを確認します。
証跡には、対象URL、X-Frame-Options値、CSP frame-ancestors値、正規の埋め込み要件、確認ブラウザ、拒否時の表示結果を残します。
クリックジャッキング対策として見る
クリックジャッキングは、利用者に見えにくい形で別ページを重ね、意図しない操作をさせる攻撃です。XFOは、保護対象ページを他サイトに埋め込ませないことで被害を減らします。
ログイン後画面、管理画面、決済、設定変更、承認画面など、利用者操作の影響が大きいページほど優先して確認します。
- 操作影響が大きいページを優先する。
- DENYかSAMEORIGINかを選ぶ。
- 拒否時のブラウザ挙動を確認する。
CSPとの役割を分ける
XFOは単純で広く使われますが、許可できる範囲が限られます。CSP frame-ancestorsは、特定の許可元を複数指定でき、より柔軟です。
両方を設定する場合は、矛盾がないかを確認します。片方では許可、片方では拒否になっていると、ブラウザや環境により挙動が分かり、調査が難しくなります。
- XFOとframe-ancestorsを並べて確認する。
- 正規の埋め込み元を明記する。
- 古いブラウザ対応の必要性を見る。
正規の埋め込みを壊さない
社内ポータル、BIダッシュボード、ID基盤、外部SaaS連携では、iframe埋め込みが正規要件になっている場合があります。XFOを一律DENYにすると業務画面が表示されなくなります。
設定変更前に、実際に埋め込んでいるページ、親オリジン、対象パスを確認します。必要な埋め込みはCSP側で許可する設計も検討します。
- iframe利用箇所を棚卸しする。
- 親ページのOriginを確認する。
- 業務影響と保護対象を分ける。
変更証跡と引き継ぎ
XFO対応では、対象URL、設定値、設定理由、正規埋め込み有無、CSPとの整合、確認結果を残します。ヘッダー値だけ残しても、例外要件が後から追えません。
引き継ぎでは、Web基盤担当、アプリ所有者、セキュリティ担当、関連語としてCSP、HTTPヘッダー、クリックジャッキングを残すと確認しやすくなります。
- 設定前後のレスポンスヘッダーを保存する。
- 正規埋め込みの例外理由を残す。
- 拒否確認のブラウザ結果を記録する。
関連語
同じ主要カテゴリの用語
セキュリティ・認証の学習順
同じ主要カテゴリの用語をまとめて確認できます。現在の用語を起点に、前後の用語へ進むと文脈を保ったまま読み進められます。
FirewallACLTLS証明書WAFCSPJWTワイルドカードマスクHTTPSHSTSXFOCookieSet-CookieSecureHttpOnlySameSiteCORSACAOSRICVSSBase Scoresecurity.txtSANSNIIPsecMFAIAMSSOOAuthIdPSAMLOIDCTokenClaim認証認可認証要素パスワードレス認証FIDO2WebAuthnパスキーTOTPリカバリーコードセッションセッションIDIDトークンリフレッシュトークンスコープリダイレクトURIPKCEクライアントIDクライアントシークレットフェデレーションSCIMJITプロビジョニングABACサービスアカウントブレークグラスアカウントAPIキーシークレットローテーションXSSCSRFSQLインジェクションSIEMEDRIDS/IPS入力検証インシデントOrigin脆弱性CVECWEパッチ管理リスクフォレンジックIOC封じ込めトリアージRBAC条件付きアクセス特権アクセス管理棚卸し権限昇格PKICACSR秘密鍵公開鍵OCSPCRLmTLSSASEZTNASWGMDMSBOMEPSSKEVゼロトラスト中間証明書証明書チェーンACMECTログJWKSstatenonceHMACOCSP stapling