Q&A
実現したいこと
webサーバのクリックジャッキング対策として、
X-Frame-Options: SAMEORIGIN
を有効にしたい
発生している問題・分からないこと
お世話になっております。
RHEL9のOSにApache（v2.4）をインストールして
構築しています。
クリックジャッキング対策を実施するため、以下の一般的な
サイトの情報に従い設定を行っております。
具体的には以下のファイルの末尾に以下の値を追加しております。
ファイル名：/etc/httpd/conf/httpd.conf
設定：X-Frame-Options SAMEORIGIN
Apacheを再起動後、外部からコマンドで確認すると
設定が反映しているように見えるのですが、
第三者がツールを使って確認すると設定が効いていない
とのことです。利用しているツールは詳細不明となっています。
■確認コマンド
$ curl -I http://www.xxxxxxx.co.jp
Server: Apache
X-Frame-Options: SAMEORIGIN
$ curl -I https://www.xxxxxxx.co.jp
HTTP/1.1 200 OK
Server: Apache
X-Frame-Options: SAMEORIGIN
ただ以下のファイルでhttpからhttpsにリダイレクト設定が入っています。
cat /var/www/html/.htaccess
RewriteEngine On
RewriteCond %{HTTPS} off
この場合、httpd.confの記載しても有効にならない、もしくは記載する箇所が末尾ではない、
もしくは.htaccessに記載が必要である等考えられますでしょうか。
その他、考えられることがあればご教示頂けると助かります。
よろしくお願いいたします。
エラーメッセージ
error
1えらーではないためメッセージなし
該当のソースコード
特になし
試したこと・調べたこと
- teratailやGoogle等で検索した
- ソースコードを自分なりに変更した
- 知人に聞いた
- その他
上記の詳細・結果
■確認コマンド
$ curl -I http://www.xxxxxxx.co.jp
Server: Apache
X-Frame-Options: SAMEORIGIN
$ curl -I https://www.xxxxxxx.co.jp
HTTP/1.1 200 OK
Server: Apache
X-Frame-Options: SAMEORIGIN
ただ以下のファイルでhttpからhttpsにリダイレクト設定が入っています。
cat /var/www/html/.htaccess
RewriteEngine On
RewriteCond %{HTTPS} off
補足
特になし
回答1件
0
confファイルに具体的にどのように記述されているのか不明なのですが、無条件にセットするという、
Header always set X-Frame-Options SAMEORIGIN
が、条件を限定するセクションの外に書いてあるという前提で回答します。
ただ以下のファイルでhttpからhttpsにリダイレクト設定が入っています。
curl -Iのような確認手段をご存じなので、確認すれば良いだけだと思いますけど？
リダイレクトの影響はないです。もちろん、リダイレクト先が別サイトなら、その別サイトの設定次第ですが。
（これもこのサイトでの実際のリダイレクト記述に具体的にどう書いているかが不明）
.htaccessが有効でも、そのファイルにHeader always set X-Frame-Options SAMEORIGINを打ち消すような記述（例えば.htaccessにHeader always unset X-Frame-Optionsとか）が書いてない限りはconfファイルの設定がそのまま有効です。
第三者がツールを使って確認すると設定が効いていないとのことです。利用しているツールは詳細不明となっています。
この人が、「どういう手順を実施して、その結果のファクト（メッセージなど）が何であったか？」が不明な状態で、あれこれ考えてもしょうがないと思います。その人の手順ミス、勘違いの可能性もあるので。
その方が大変信頼できる人で、ミスや勘違いは考えにくい場合でも、ファクトがないと対策の考えようがないです。
投稿2024/07/09 08:03
編集2024/07/09 08:11
総合スコア85458
あなたの回答
tips
プレビュー
バッドをするには、ログインかつ
こちらの条件を満たす必要があります。
2024/07/09 08:48
2024/07/09 11:07