APIサーバが返却するレスポンスヘッダーにx-frame-optionsは必要でしょうか？

Question

下記のAWSサービスを利用し、APIサーバを構築しています。

• API Gateway
• Lambda

この場合、APIサーバが返却するレスポンスヘッダーにクリックジャッキング対策用にx-frame-optionsを追加する必要はありますでしょうか？

画面を返却するわけではないので、不要かと考えております。
認識合っておりますでしょうか？

Answer 1

APIとして返す値がHTML以外のものなら、「そのまま<iframe>に表示する」ことを考えなくていい（仮に表示したとしても、ただ文字の羅列になるだけでクリックジャッキングの余地はない）ので、x-frame-optionsを付けても意味はありません（特に有害でもありませんが）。

APIがHTMLを返す場合は、適切にx-frame-optionsを設定したほうがいいでしょう。

Comments

[c_a]

早速のご回答ありがとうございました。
HTMLは返却せずJSONデータを返却するだけなので、x-frame-optionsは必要なさそうですね。