Comment empêcher le chargement de la page de mon site par le biais d'un cadre de site tiers ou d'un iFrame ?

Question

Comment puis-je savoir que ma page est intégrée en tant que cadre à un autre site pendant le chargement de la page ? Je suppose que l'en-tête de demande de référence ne peut pas m'aider ici ? Merci.

Answer 1

Vous ne pouvez pas le vérifier du côté du serveur, mais vous pouvez utiliser le javascript pour le détecter après le chargement de la page. Comparez top y self s'ils ne sont pas identiques, vous êtes dans un cadre.

En outre, certains navigateurs modernes respectent l'attribut X-FRAME-OPTIONS qui peut avoir deux valeurs :

• DENY - empêche la page d'être rendue si elle est contenue dans un cadre.
• SAMEORIGIN - même chose que ci-dessus, sauf si la page appartient au même domaine que le détenteur du frameset de premier niveau.

Parmi les utilisateurs, citons Picasa de Google, qui ne peut pas être intégré dans un cadre.

Navigateurs qui prennent en charge l'en-tête, avec la version minimale :

• IE8 et IE9
• Opera 10.50
• Safari 4
• Chrome 4.1.249.1042
• Firefox 3.6.9 (versions plus anciennes avec NoScript )

Answer 2

Stackoverflow inclut quelques JS pour le tester ( master.js ). En voici la partie pertinente :

if(top!=self){
    top.location.replace(document.location);
    alert("For security reasons, framing is not allowed; click OK to remove the frames.")
}

Mais n'oubliez pas que JS peut être désactivé.

Answer 3

Pour navigateurs modernes vous pouvez utiliser la CSP (Content Security Policy), qui est une norme. L'en-tête suivant empêchera le document de se charger dans un cadre quelconque :

Content-Security-Policy: frame-ancestors 'none'

(IE 11 a besoin de l'option X- préfixe, cependant). Vous pouvez également modifier 'none' à l'origine sur laquelle le cadrage est autorisé, comme votre propre site.

Pour couvrir les navigateurs plus anciens, il est préférable de l'utiliser conjointement avec La réponse de @Maerlyn .

Answer 4

Vous pouvez empêcher le chargement de votre page dans une iframe avec javascript

<script type="text/javascript">
if ( window.self !== window.top ) {
    window.top.location.href=window.location.href;
}
</script>

ce code change l'adresse du conteneur de l'iframe de votre page en adresse de votre page et force le conteneur à afficher votre page.

Answer 5

Vous pouvez également bloquer un domaine spécifique si votre contenu ne vous dérange pas à certains endroits mais que vous ne voulez pas qu'il apparaisse sur un certain site. Par exemple, si offendingdomain.com intégrait votre contenu, vous pourriez faire ça :

<script type="text/javascript">
    if(document.referrer.indexOf("offendingdomain.com") != -1) {
        window.location = "http://www.youtube.com/watch_popup?v=oHg5SJYRHA0";
    }
</script>

Cela vérifierait l'emplacement du document parent et verrait si c'est le offendingdomain.com qui consiste à intégrer votre contenu. Ce script enverra ensuite cette iframe vers une certaine vidéo youtube célèbre comme punition. En effet, ils se sont juste Rick-Rolled eux-mêmes.