C04-T006 · En-têtes HTTP de sécurité

X-Frame-Options

X-Frame-Options réduit le risque de clickjacking sur les navigateurs compatibles.

Comment lire le résultat

Le contrôle automatisé porte sur les réponses ou éléments mesurés dans le rapport. Un état « observé » ne démontre pas à lui seul que le contrôle est conforme.

Ce qu’il faut corriger

Ajoutez l’en-tête au vhost nginx. Utilisez SAMEORIGIN si vos propres pages doivent pouvoir s’intégrer entre elles.

Étapes de correction

Dans le rapport, ouvrez le contrôle C04-T006 et relevez son statut, sa valeur mesurée, son URL et sa preuve. Si la mesure est absente, complétez le contrôle avant de corriger.
Ouvrez Plesk > Domaines > Apache & nginx > Directives nginx supplémentaires et notez sa configuration actuelle.
Ajoutez l’en-tête au vhost nginx. Utilisez SAMEORIGIN si vos propres pages doivent pouvoir s’intégrer entre elles.
Vérifiez le parcours concerné et relancez C04-T006 dans AxiSecurity.

Preuve attendue

comparez les en-têtes réels de la page publique et d’une page connectée.

Exemple de configuration

add_header X-Frame-Options "SAMEORIGIN" always;

Vérifier la correction

Exécutez cette vérification depuis un poste autorisé ou votre serveur d’administration, puis relancez AxiSecurity.

curl -sI https://VOTRE-DOMAINE.TLD | grep -i '^x-frame-options:'