X-Frame-Options Permettent-à Partir de multiples domaines

De RFC 7034:

Des caractères génériques ou des listes de déclarer plusieurs domaines en un seul PERMETTRE DE déclaration ne sont pas autorisés

Donc,

Comment dois-je configurer le X-Frame-Options: AUTORISER-à PARTIR de plus d'un seul domaine?

Vous ne pouvez pas. Comme solution de contournement, vous pouvez utiliser des Url différentes pour les différents partenaires. Pour chaque URL, vous pouvez utiliser ses propres X-Frame-Options valeur. Par exemple:

partner   iframe URL       ALLOW-FROM
---------------------------------------
Facebook  fb.yoursite.com  facebook.com
VK.COM    vk.yoursite.com  vk.com

Pour yousite.com vous pouvez simplement utiliser X-Frame-Options: deny.

BTW, pour l'instant Chrome (et tous basé sur webkit navigateurs) ne prend pas en charge ALLOW-FROM déclarations à tous.

Necromancing.

Les réponses sont incomplètes.

Tout d'abord, comme déjà dit, vous ne pouvez pas ajouter de multiples permettent d'hôtes, qui n'est pas pris en charge.

Deuxièmement, vous devez extraire dynamiquement cette valeur à partir de l'adresse HTTP référent, ce qui signifie que vous ne pouvez pas ajouter de la valeur sur le Web.config, car il n'est pas toujours la même valeur.

Il sera nécessaire de faire un navigateur de détection pour éviter l'ajout de permettre-à partir de quand le navigateur est Chrome (il se produit une erreur sur le debug console, ce qui peut rapidement remplir la console, ou d'en faire la demande lent). Cela signifie également que vous avez besoin de modifier la ASP.NET la détection du navigateur, comme il l'identifie à tort Bord de Chrome.

Cela peut être fait en ASP.NET en écrivant un HTTP-module qui s'exécute sur chaque demande, qui ajoute un http en-tête pour toute réponse, en fonction de la demande du référent. Pour Chrome, il a besoin d'ajouter du Contenu-de la Politique de Sécurité.

//https://stackoverflow.com/questions/31870789/check-whether-browser-is-chrome-or-edge
public class BrowserInfo
{
public System.Web.HttpBrowserCapabilities Browser { get; set; }
public string Name { get; set; }
public string Version { get; set; }
public string Platform { get; set; }
public bool IsMobileDevice { get; set; }
public string MobileBrand { get; set; }
public string MobileModel { get; set; }
public BrowserInfo(System.Web.HttpRequest request)
{
if (request.Browser != null)
{
if (request.UserAgent.Contains("Edge")
&& request.Browser.Browser != "Edge")
{
this.Name = "Edge";
}
else
{
this.Name = request.Browser.Browser;
this.Version = request.Browser.MajorVersion.ToString();
}
this.Browser = request.Browser;
this.Platform = request.Browser.Platform;
this.IsMobileDevice = request.Browser.IsMobileDevice;
if (IsMobileDevice)
{
this.Name = request.Browser.Browser;
}
}
}
}
void context_EndRequest(object sender, System.EventArgs e)
{
if (System.Web.HttpContext.Current != null && System.Web.HttpContext.Current.Response != null)
{
System.Web.HttpResponse response = System.Web.HttpContext.Current.Response;
try
{
//response.Headers["P3P"] = "CP=\\\"IDC DSP COR ADM DEVi TAIi PSA PSD IVAi IVDi CONi HIS OUR IND CNT\\\"":
//response.Headers.Set("P3P", "CP=\\\"IDC DSP COR ADM DEVi TAIi PSA PSD IVAi IVDi CONi HIS OUR IND CNT\\\"");
//response.AddHeader("P3P", "CP=\\\"IDC DSP COR ADM DEVi TAIi PSA PSD IVAi IVDi CONi HIS OUR IND CNT\\\"");
response.AppendHeader("P3P", "CP=\\\"IDC DSP COR ADM DEVi TAIi PSA PSD IVAi IVDi CONi HIS OUR IND CNT\\\"");
//response.AppendHeader("X-Frame-Options", "DENY");
//response.AppendHeader("X-Frame-Options", "SAMEORIGIN");
//response.AppendHeader("X-Frame-Options", "AllowAll");
if (System.Web.HttpContext.Current.Request.UrlReferrer != null)
{
//"X-Frame-Options": "ALLOW-FROM " Not recognized in Chrome 
string host = System.Web.HttpContext.Current.Request.UrlReferrer.Scheme + System.Uri.SchemeDelimiter
+ System.Web.HttpContext.Current.Request.UrlReferrer.Authority
;
string selfAuth = System.Web.HttpContext.Current.Request.Url.Authority;
string refAuth = System.Web.HttpContext.Current.Request.UrlReferrer.Authority;
//SQL.Log(System.Web.HttpContext.Current.Request.RawUrl, System.Web.HttpContext.Current.Request.UrlReferrer.OriginalString, refAuth);
if (IsHostAllowed(refAuth))
{
BrowserInfo bi = new BrowserInfo(System.Web.HttpContext.Current.Request);
//bi.Name = Firefox
//bi.Name = InternetExplorer
//bi.Name = Chrome
//Chrome wants entire path... 
if (!System.StringComparer.OrdinalIgnoreCase.Equals(bi.Name, "Chrome"))
response.AppendHeader("X-Frame-Options", "ALLOW-FROM " + host);    
//unsafe-eval: invalid JSON https://github.com/keen/keen-js/issues/394
//unsafe-inline: styles
//data: url(data:image/png:...)
//https://www.owasp.org/index.php/Clickjacking_Defense_Cheat_Sheet
//https://www.ietf.org/rfc/rfc7034.txt
//https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/X-Frame-Options
//https://developer.mozilla.org/en-US/docs/Web/HTTP/CSP
//https://stackoverflow.com/questions/10205192/x-frame-options-allow-from-multiple-domains
//https://content-security-policy.com/
//http://rehansaeed.com/content-security-policy-for-asp-net-mvc/
//This is for Chrome:
//response.AppendHeader("Content-Security-Policy", "default-src 'self' 'unsafe-inline' 'unsafe-eval' data: *.msecnd.net vortex.data.microsoft.com " + selfAuth + " " + refAuth);
System.Collections.Generic.List<string> ls = new System.Collections.Generic.List<string>();
ls.Add("default-src");
ls.Add("'self'");
ls.Add("'unsafe-inline'");
ls.Add("'unsafe-eval'");
ls.Add("data:");
//http://az416426.vo.msecnd.net/scripts/a/ai.0.js
//ls.Add("*.msecnd.net");
//ls.Add("vortex.data.microsoft.com");
ls.Add(selfAuth);
ls.Add(refAuth);
string contentSecurityPolicy = string.Join(" ", ls.ToArray());
response.AppendHeader("Content-Security-Policy", contentSecurityPolicy);
}
else
{
response.AppendHeader("X-Frame-Options", "SAMEORIGIN");
}
}
else
response.AppendHeader("X-Frame-Options", "SAMEORIGIN");
}
catch (System.Exception ex)
{
//WTF ? 
System.Console.WriteLine(ex.Message); //Suppress warning
}
} //End if (System.Web.HttpContext.Current != null && System.Web.HttpContext.Current.Response != null)
} //End Using context_EndRequest
private static string[] s_allowedHosts = new string[] 
{
"localhost:49533"
,"localhost:52257"
,"vmswisslife"
,"vmraiffeisen"
,"vmpost"
,"example.com"
};
public static bool IsHostAllowed(string host)
{
return Contains(s_allowedHosts, host);
} //End Function IsHostAllowed 
public static bool Contains(string[] allowed, string current)
{
for (int i = 0; i < allowed.Length; ++i)
{
if (System.StringComparer.OrdinalIgnoreCase.Equals(allowed[i], current))
return true;
} //Next i 
return false;
} //End Function Contains 

Vous devez vous inscrire à la context_EndRequest fonction dans le HTTP-module de fonction Init.

public class RequestLanguageChanger : System.Web.IHttpModule
{
void System.Web.IHttpModule.Dispose()
{
//throw new NotImplementedException();
}
void System.Web.IHttpModule.Init(System.Web.HttpApplication context)
{
//https://stackoverflow.com/questions/441421/httpmodule-event-execution-order
context.EndRequest += new System.EventHandler(context_EndRequest);
}
//context_EndRequest Code from above comes here
}

Ensuite, vous devez ajouter le module à votre application.
Vous pouvez soit le faire par programme Mondial.asax par substitution de la fonction Init de la HttpApplication, comme ceci:

namespace ChangeRequestLanguage
{
public class Global : System.Web.HttpApplication
{
System.Web.IHttpModule mod = new libRequestLanguageChanger.RequestLanguageChanger();
public override void Init()
{
mod.Init(this);
base.Init();
}
protected void Application_Start(object sender, System.EventArgs e)
{
}
protected void Session_Start(object sender, System.EventArgs e)
{
}
protected void Application_BeginRequest(object sender, System.EventArgs e)
{
}
protected void Application_AuthenticateRequest(object sender, System.EventArgs e)
{
}
protected void Application_Error(object sender, System.EventArgs e)
{
}
protected void Session_End(object sender, System.EventArgs e)
{
}
protected void Application_End(object sender, System.EventArgs e)
{
}
}
}

ou vous pouvez ajouter des entrées pour le Web.config si vous n'avez pas l'application du code source:

      <httpModules>
<add name="RequestLanguageChanger" type= "libRequestLanguageChanger.RequestLanguageChanger, libRequestLanguageChanger" />
</httpModules>
</system.web>
<system.webServer>
<validation validateIntegratedModeConfiguration="false"/>
<modules runAllManagedModulesForAllRequests="true">
<add name="RequestLanguageChanger" type="libRequestLanguageChanger.RequestLanguageChanger, libRequestLanguageChanger" />
</modules>
</system.webServer>
</configuration>

L'entrée dans le système.le serveur web est pour IIS7+, l'autre dans le système.le web est pour IIS 6.

Notez que vous devez définir runAllManagedModulesForAllRequests de vrai, pour qu'il fonctionne correctement.

La chaîne est de type dans le format "Namespace.Class, Assembly".
Notez que si vous écrivez votre assemblée VB.NET au lieu de C#, visual basic crée un par défaut de l'espace de Noms pour chaque projet, de sorte que votre chaîne va ressembler

"[DefaultNameSpace.Namespace].Class, Assembly"

Si vous voulez éviter ce problème, écrire la DLL en C#.

Les RFC pour le Champs de l'Entête HTTP X-Frame-Options stipule que la "AUTORISER le-champ dans le X-Frame-Options valeur d'en-tête peut ne contenir qu'un seul domaine. Plusieurs domaines ne sont pas autorisés.

Le RFC suggère un travail autour de ce problème. La solution est de spécifier le nom de domaine comme un paramètre de l'url de l'iframe src url. Le serveur qui héberge l'iframe src url peut alors vérifier le nom de domaine donné dans les paramètres de l'url. Si le nom de domaine correspond à une liste de validité des noms de domaine, le serveur peut envoyer le X-Frame-Options d'en-tête avec la valeur: "PERMETTEZ-à PARTIR du nom de domaine", d'où le nom de domaine est le nom du domaine qui est d'essayer d'intégrer le contenu à distance. Si le nom de domaine n'est pas indiquée ou n'est pas valide, alors le X-Frame-Options d'en-tête peuvent être envoyés avec la valeur: "refuser".

Pas exactement le même, mais pourrait fonctionner pour certains cas: il y a une autre option ALLOWALL qui aura pour effet de supprimer la restriction, ce qui pourrait être une bonne chose pour les tests de pré-production environnements

Une solution possible serait d'utiliser un "cadre-breaker" script comme décrit ici

Vous avez juste besoin de modifier l'instruction "if" pour vérifier votre permis de domaines.

   if (self === top) {
var antiClickjack = document.getElementById("antiClickjack");
antiClickjack.parentNode.removeChild(antiClickjack);
} else {
//your domain check goes here
if(top.location.host != "allowed.domain1.com" && top.location.host == "allowed.domain2.com")
top.location = self.location;
}

Cette solution de contournement serait à l'abri, je pense. parce qu'avec javascript activé, vous n'aurez pas de problème de sécurité sur un site web malveillant, le cadrage de votre page.