クリックジャッキングテスト

あなたのサイトは 他人に埋め込まれる？

クリックジャッキングは、あなたの本物のページを別サイトの見えないフレームに隠し、訪問者に気づかれないままボタンをクリックさせます。URL を貼り付けて、他のサイトがフレームに埋め込めるかどうか、そしてそれが訪問者にとってリスクになるかを確認しましょう。

無料、登録不要です。ブラウザと同じようにページを一度だけリクエストし、ヘッダーを読み取ります。

攻撃の仕組み

あなたのページ、他人のクリック

見えないフレーム

攻撃者はあなたの本物のページを透明な iframe に読み込み、賞品ボタンや動画プレーヤーなどのおとりの上に重ねます。

本物のクリック

訪問者はすでにあなたのサイトにログインしています。そのクリックはあなたのページに届き、支払いの承認、メールアドレスの変更、アクセス権の付与が行われます。

ヘッダー 1 つで防げます

frame-ancestors または X-Frame-Options は、どのサイトがあなたをフレームに埋め込めるかをブラウザに伝えます。これがないと、ブラウザは誰にでも許可します。

よくある質問

疑問にお答えします

このテストでは何をチェックしますか？

当社のサーバーから URL をリクエストし、2 つのレスポンスヘッダー（X-Frame-Options と Content-Security-Policy の frame-ancestors ディレクティブ）を読み取ります。さらにページ内のフレームに URL を読み込むので、ご自身のブラウザで結果を確認できます。

どのヘッダーを使うべきですか？

frame-ancestors は現在の標準で、存在する場合は常に優先されます。古いブラウザ向けに X-Frame-Options も残しておきましょう。自分のドメインだけを許可するなら 'self'、すべてのフレームをブロックするなら 'none' を使います。

フレームが空白なのはなぜですか？

フレームへの埋め込みをブロックしているサイト、不明な訪問者に空白ページを表示するサイト、またはブラウザが https ページ内での読み込みを拒否する http を使っているサイトがあります。ヘッダーの判定結果はブラウザに左右されません。

フレームに埋め込めるなら、サイトは脆弱ということですか？

必ずしもそうではありません。クリックジャッキングが成立するには、支払いや設定変更のような重要な操作があるページ、ログイン中の訪問者、そして別サイトのフレーム内でもブラウザが送信するセッション Cookie が必要です。現在のブラウザは SameSite=None のない Cookie を送信しないため、埋め込まれたページは通常ログアウト状態で表示されます。それでもヘッダーは追加する価値があります。リスクを確実に断ち、セキュリティ監査でもチェックされるからです。

ALLOW-FROM はまだサポートされていますか？

いいえ。現在のブラウザは X-Frame-Options ALLOW-FROM を無視します。特定のパートナーサイトを許可するには、代わりに frame-ancestors に列挙してください。

URL は保存されますか？

レート制限のためのリクエスト記録のみを保持し、URL や結果は保存しません。

覚えておく必要のないセキュリティヘッダー。

CICDoo は、あなたが所有するサーバー上で Odoo を運用し、フレーム埋め込み対策、SSL、二要素ログイン、バックアップ、すべてのインスタンスの毎日のセキュリティスキャンを提供します。

始める ご相談ください

ユーザー数による課金はありません。サーバーはあなたのまま。