Защита от кликджекинга
Безопасность — насколько трудно увести сессию, встроить чужой код или узнать, что ломать.
стоит поправить
чинится быстро
вес 4
Что это
Кликджекинг — приём, когда ваш сайт грузят в прозрачный iframe поверх чужой страницы: человек думает, что нажимает кнопку на чужом сайте, а нажимает вашу. X-Frame-Options и директива frame-ancestors в CSP запрещают браузеру встраивать страницу в чужие фреймы.
Чем грозит
Страницу можно спрятать в прозрачный фрейм на чужом сайте, и посетитель нажмёт вашу кнопку, не зная об этом.
Что делать
Добавьте X-Frame-Options: SAMEORIGIN или директиву frame-ancestors в CSP. Если на сайте работает Вебвизор Яндекс.Метрики, выбирайте frame-ancestors и разрешите в нём адреса Метрики: X-Frame-Options закроет Вебвизор вместе с чужими фреймами.