質問をすることでしか得られない、回答やアドバイスがある。

15分調べてもわからないことは、質問しよう!

ただいまの
回答率

90.03%

静的ページにiframeでお問い合わせフォームを埋め込む場合の問題点について

解決済

回答 3

投稿 編集

  • 評価
  • クリップ 1
  • VIEW 153

質問内容

静的ページへお問い合わせフォーム(メールフォーム)を導入する際、iframeを利用して埋め込むという手段において考えられる技術上・セキュリティ上の問題はありますか?

経緯

現在、静的ページにお問い合わせフォームを導入(埋め込み)しようと考えています。

事前の計画ではPHPで自作することを考えていたのですが、XSSやCSRFといったセキュリティの問題に自分の知識では対応できそうになかったので、今回は「MicroEngine Mailform」を利用することにしました。

しかし、実際にライブラリの中身を確認してみると、MicroEngine Mailformでは付属のindex.phpを基軸として入力・確認・送信が行われているようで、埋め込むというよりも静的ページから遷移させて単体で動作させることを前提としているようでした。

そこで、

1、MicroEngine Mailformの推奨通り、静的ページではお問い合わせフォームへのリンクのみとし、遷移先でindex.phpを動かす。
ー>今回の目標は静的ページへの埋め込みなので、なんとか静的ページで入力させるようにしたい。

2、MicroEngine Mailformのテンプレート入力ページを対象の静的ページにすり替える。
ー>index.htmlがライブラリの奥深くに配置されることによってサイト構造が難しくなる。

3、別のフォームを導入する
ー>自分が調べた限りではMicroEngine Mailformがセキュリティ面で一番しっかりしているようなので、できれば変更したくない。

と色々と考えた結果、最終的に「静的ページにMicroEngine Mailformをiframeで埋め込むという方法しかないのでは…?」と考えるようになりました。

ただ「セキュリティ面を考えてライブラリを導入したのにiframeで埋め込んだために別の問題が出てくるのでは本末転倒」ということで今回の質問内容が思い浮かび、teratailで質問させていただきました。

当方の知識不足で招いた問題ですが、ご回答いただけますと幸いです。

  • 気になる質問をクリップする

    クリップした質問は、後からいつでもマイページで確認できます。

    またクリップした質問に回答があった際、通知やメールを受け取ることができます。

    クリップを取り消します

  • 良い質問の評価を上げる

    以下のような質問は評価を上げましょう

    • 質問内容が明確
    • 自分も答えを知りたい
    • 質問者以外のユーザにも役立つ

    評価が高い質問は、TOPページの「注目」タブのフィードに表示されやすくなります。

    質問の評価を上げたことを取り消します

  • 評価を下げられる数の上限に達しました

    評価を下げることができません

    • 1日5回まで評価を下げられます
    • 1日に1ユーザに対して2回まで評価を下げられます

    質問の評価を下げる

    teratailでは下記のような質問を「具体的に困っていることがない質問」、「サイトポリシーに違反する質問」と定義し、推奨していません。

    • プログラミングに関係のない質問
    • やってほしいことだけを記載した丸投げの質問
    • 問題・課題が含まれていない質問
    • 意図的に内容が抹消された質問
    • 広告と受け取られるような投稿

    評価が下がると、TOPページの「アクティブ」「注目」タブのフィードに表示されにくくなります。

    質問の評価を下げたことを取り消します

    この機能は開放されていません

    評価を下げる条件を満たしてません

    評価を下げる理由を選択してください

    詳細な説明はこちら

    上記に当てはまらず、質問内容が明確になっていない質問には「情報の追加・修正依頼」機能からコメントをしてください。

    質問の評価を下げる機能の利用条件

    この機能を利用するためには、以下の事項を行う必要があります。

回答 3

checkベストアンサー

+4

iframeを使うことによる重大な問題はないと思いますが、さりとて、iframeを使う方法が良いかといえば、あまり良いとは言えません。

ユーザーを騙すことになる

ウェブの入力画面がどのドメインで動いているかは重要です。入力した内容がどのサイトに送られるかという指標になるからです。iframeを使うと、見た目上は、アドレスバーと異なるドメインにユーザー入力が送られるので良くありません。
この問題を緩和するには、画面上のどこかに、「この入力フォームはMicroEngine Mailform を用いており、お客様の入力内容もMicroEngine Mailformに送信されます」と注意書きを書いておくとよいでしょう。

脆弱性の原因になる可能性

入力フォームを罠サイトのiframeの中に入れることによる攻撃があります。代表的なものがクリックジャッキングです。クリックジャッキングについては以下を参照ください。

IPAテクニカルウォッチ 知らぬ間にプライバシー情報の非公開設定を公開設定に変更されてしまうなどの『クリックジャッキング』に関するレポート

それでは、ご質問の入力フォームがクリックジャッキング脆弱かというと、そうとは限りません。要は「ユーザーの知らないうちに『クリックさせられていた』場合にどこまで悪いことが起こるか?」が問題となり、ログインのないサイトであれば、重大なことまでは発生しないことが多いです。
問題が起きそうな例を一つ紹介します。世論調査をネットで実施するフォームを作成したとします。クリックジャッキングを使うと、罠のサイトを見た利用者が、意図とは違う候補を選んでしまうということができます。攻撃者が自分で世論調査操作サイトに入力した場合と異なり、一般の方がクリックしているわけですから、不正操作を見抜くことが極めて困難になります。

難しいですか? 多分難しいですよね。なので、上記のようなことは理解できなくても、以下のレスポンスヘッダを常に送信することが推奨されています。

X-Frame-Options: sameorigin

これを送信すると、この画面は、異なるドメイン(オリジン)のページのiframeに入れることができなくなります
一方、GoogleフォームやYoutubeの動画はiframeに入れることができますが、こちらは敢えてX-Frame-Optionsを生成せず、iframeに入ることを許容しているわけです。これらはGoogleが提供するものなので、クリックジャッキング等のリスクは熟知した上で、問題ないと判断している、あるいは問題ないように実装しているのでしょう。

結論としては、iframeを使うことによるリスクは通常は大きくないが、クリックジャッキング等の問題があり、それが判断できないのであれば、iframeを使わない(X-Frame-Optionsを使う)ことが望ましい、ということになります。

MicroEngine MailformはX-Frame-Optionsを出しておらず、だからiframeに入れることができるわけですが、仮にMicroEngine Mailformを使う場合でも、推奨通り以下の使い方をすることをおすすめします。

1、MicroEngine Mailformの推奨通り、静的ページではお問い合わせフォームへのリンクのみとし、遷移先でindex.phpを動かす。

投稿

  • 回答の評価を上げる

    以下のような回答は評価を上げましょう

    • 正しい回答
    • わかりやすい回答
    • ためになる回答

    評価が高い回答ほどページの上位に表示されます。

  • 回答の評価を下げる

    下記のような回答は推奨されていません。

    • 間違っている回答
    • 質問の回答になっていない投稿
    • スパムや攻撃的な表現を用いた投稿

    評価を下げる際はその理由を明確に伝え、適切な回答に修正してもらいましょう。

  • 2019/11/03 18:35

    素人にもわかりやすいご回答ありがとうございます。
    ご指摘いただいた問題点について、

    1、ユーザーを騙すことになる
    大変参考になりました。お問い合わせフォームの導入方法は再度検討中ですが、埋め込むことになった場合はご提案いただいた方法でユーザーに注意を促すようにします。

    2、脆弱性の原因になる可能性
    代表的な脆弱性までご提示いただきありがたい限りです。クリックジャッキングについて勉強させていただきました。

    丁寧なご回答に質問で返すのは申し訳ないのですが、下記の疑問にご回答いただけますと幸いです。

    >>「この入力フォームはMicroEngine Mailform を用いており、お客様の入力内容もMicroEngine Mailformに送信されます」と注意書きを書いておく...
    >>MicroEngine MailformはX-Frame-Optionsを出しておらず、だからiframeに入れることができるわけですが...

    私はMicroEngine Mailformの内部を詳しく読んでいないため、てっきりライブラリの中で入力から送信まで完結しているものだと考えていたのですが、どこかのフェーズでMicroEngineサーバーに接続しているのでしょうか?

    私の理解している範疇では、お問い合わせフォームを埋め込むことになった場合、下記の対策を実施しようと考えたのですが、回答者様のご意向と相違はございませんでしょうか?

    ・クリックジャッキングによって誤クリックされた際にどんな影響があるか精査する。
    ・埋め込み先のページとiframeで埋め込まれるページ(MicroEngine Mailform)を同一ドメインに設置し、サーバ側(Apache)でクリックジャッキングに対応する場合は「httpd.conf」にX-Frame-Optionsを記述する
    ・フォームは別ページから埋め込んでいることをユーザーに知らせる。

    繰り返しになりますが、丁寧なご回答ありがとうございました。

    キャンセル

  • 2019/11/03 18:46

    すいません。基本的な勘違いをしていたようです。
    MicroEngine Mailformはあくまでプログラムとして導入するもので、ASP/SaaSとしてMicroEngine Mailformがあるわけではないのですね。そうなると、私の回答は少し的はずれでした。(iframe全般の問題としてはそのとおりですが)
    iframeが同じドメインにあるのであれば、注釈等は不要かと思います。一方、クリックジャッキング対策はぜひすべきであって、X-Frame-Options: sameoriginをフォーム側で送信するとよいと思います。対策する前提であれば、クリックジャッキングの影響を調査する必要はありません。また、埋め込みであることのコメントも不要かと思います。
    あとで本文の方も訂正しようと思いますが、結論としては、ifameを使うことによりクリックジャッキング等の影響がありえるので、x-frame-optionsヘッダにより対策するとよい、という形になります。

    キャンセル

  • 2019/11/03 19:00

    早速のご返答ありがとうございます。
    >>X-Frame-Options: sameoriginをフォーム側で送信するとよいと思います
    承知しました。再度のご回答大変感謝します。

    キャンセル

+3

ありませんが、アドバイスとしてこういうリスクはあるのでしょうか?という質問の仕方が出来ない状態であるなら、リスクがあるかもしれないと思える方法は採用しない方がいいです。
特にセキュリティ関連の質問の場合、それが本当にリスクのあるやり方だとしても誤った回答やあえて正しくない回答をされた場合に鵜呑みにしてしまアウトです。

投稿

  • 回答の評価を上げる

    以下のような回答は評価を上げましょう

    • 正しい回答
    • わかりやすい回答
    • ためになる回答

    評価が高い回答ほどページの上位に表示されます。

  • 回答の評価を下げる

    下記のような回答は推奨されていません。

    • 間違っている回答
    • 質問の回答になっていない投稿
    • スパムや攻撃的な表現を用いた投稿

    評価を下げる際はその理由を明確に伝え、適切な回答に修正してもらいましょう。

  • 2019/11/02 17:31

    早速のご回答ありがとうございます。
    当方にセキュリティ関連の知見がないために曖昧な質問となってしまい申し訳ないです。
    大変参考になりました。

    キャンセル

+1

少なくともGoogleフォームはiframeで埋め込めます。
それをどうとらえるかは質問者さん次第です。

投稿

編集

  • 回答の評価を上げる

    以下のような回答は評価を上げましょう

    • 正しい回答
    • わかりやすい回答
    • ためになる回答

    評価が高い回答ほどページの上位に表示されます。

  • 回答の評価を下げる

    下記のような回答は推奨されていません。

    • 間違っている回答
    • 質問の回答になっていない投稿
    • スパムや攻撃的な表現を用いた投稿

    評価を下げる際はその理由を明確に伝え、適切な回答に修正してもらいましょう。

  • 2019/11/02 17:30

    早速のご回答ありがとうございます。
    Googleフォームもiframeで埋め込んでいるのですね。
    大変参考になりました。

    キャンセル

15分調べてもわからないことは、teratailで質問しよう!

  • ただいまの回答率 90.03%
  • 質問をまとめることで、思考を整理して素早く解決
  • テンプレート機能で、簡単に質問をまとめられる