[WEB] HTTP 응답 보안 헤더

• X-FRAME-OPTION 

HTML 인젝션을 통해 클릭 재킹 공격에 활용되는 <frame>, <iframe>, <object> 태그를 통해 외부 페이지를 삽입하였을 때 외부 페이지가 렌더링되지 않도록 방지하는 HTTP 응답 헤더 이다.

 

속성	내용
DENY	프레임을 표시 하지 않음
SAMEORIGIN	동일한 도메인의 프레임만 표시
ALLOW-FROM	지정한 도메인의 프레임만 표시

 

 

• X-XSS-Protection

브라우저에서 제공하는 기능으로 XSS 공격을 감지 할 때 페이지 로드를 중지시키는 헤더이다.

 

속성	내용
0;	XSS 필터링 비활성화
1;	XSS 필터링 활성화
1; mode=block	XSS 필터링 활성화 후 XSS 공격 감지 시 렌더링 중단
1; report=<reporting-uri>	XSS 필터링 활성화 후 XSS 공격 감지 시 렌더링 중단 후 보고