自社運営サイトでのiframeでの "in a frame because it set 'X-Frame-Options' to 'sameorigin'."について

Question

自社で運営しているサイト（aaa.com）に別の運営サイト（bbb.com）の内容を
iframeで表示したいのですが、

”in a frame because it set 'X-Frame-Options' to 'sameorigin'.”

上記が発生し、iframeが表示できません。

.htaccessに

”Header always append X-Frame-Options ALLOW-FROM bbb.com”

なども追加してみましたが、Internal Errorとなってしまいます。

どのように設定すれば良いでしょうか。
ご教授お願いいたします。

【追記】

php内に

header('X-FRAME-OPTIONS: ALLOW-FROM https://bbb.com/');

を追記したところ、エラー内容が以下に変わりました。

”in a frame because it set multiple 'X-Frame-Options' headers with conflicting values ('ALLOW-FROM https://bbb.com, SAMEORIGIN'). Falling back to 'deny'.”

何か解決の方法はありますでしょうか。

Comments

[hayato7]

別の運営サイト（bbb.com）とありますが、こちらも自社運営ですか？それとも全く別のところで運用されているのでしょうか？

[Yuichiro0205]

どちらも自社運営サイトです。

Answer 1

自社で運営しているサイト（aaa.com）に別の運営サイト（bbb.com）の内容を

iframeで表示したいのですが、

”in a frame because it set 'X-Frame-Options' to 'sameorigin'.”

上記が発生し、iframeが表示できません。

B サイト側が、X-Frame-Options: SAMEORIGIN を出力しているので、ドメインが異なるのでエラーになっています。

B サイト側で、X-Frame-Options: ヘッダを出力しないようにしてください。

---

header('X-FRAME-OPTIONS: ALLOW-FROM https://bbb.com/');

X-Frame-Options: ALLOW-FROM uri は、かなり以前に廃止されたので、最新の Web ブラウザでは使用できません。

現在、X-Frame-Options のオプションで使えるのは、X-Frame-Options: DENY か X-Frame-Options: SAMEORIGIN のどちらかです。
他のドメインに許可するのであれば、X-Frame-Options ヘッダは出力しないようにする必要があると思います。

A サイトに Bサイトの内容を iframe で埋め込むのであれば、埋め込まれる B サイト側に設定する必要があります。

X-Frame-Options - MDN web docs

Comments

[Yuichiro0205]

ご回答ありがとうございます。
X-Frame-Optionsヘッダ出力を自身では何も設定していないのですが、
フレームワークなどが勝手に出力していることとかあるのでしょうか。
現在使用しているのはCakePHPです。