1

¿Como puedo evitar que mi sitio sea puesto en un <iframe> y cómo puedo permitir que sólo un sitio pueda ponerlo en él?

1 respuesta 1

4

Puedes comprobar si una página está dentro de un <iframe> o no probando si window.self (ventana o marco actual) y window.top (ventana o marco padre) es el mismo:

try {
  console.log('Estamos en iframe: ', window.self !== window.top);
  console.log('Si nos lo permite CORS, podemos ver la URL:',
    window.top.location);
} catch (e) {
  /* Las políticas "same origin" impiden que accedamos a window.top */
  console.log('Estamos en iframe');
}

Si no se cumplen las políticas de mismo origen (same origin) entonces no podremos comprobar la URL de la página padre, será imposible dar acceso a unas páginas sí y otras no si no lo acceso haciendo uso de CORS.

Las políticas de mismo origen se cumplen si incluyes una página dentro de otra si:

Dos páginas tienen el mismo origen si el protocolo, puerto (si es especificado) y host son los mismo para ambas páginas. Verá esto a veces referido como la tupla esquema/host/puerto" (donde una "tupla" es un conjunto de tres componentes que juntos forman un todo).

La siguiente tabla muestra ejemplos de comparaciones de origenes para la URL http://store.company.com/dir/page.html:

Para implementar CORS en PHP necesitas hacer uso de la cabecera Access-Control-Allow-Origin tal y como se muestra en este ejemplo:

<?php
/* Aquí comprobamos HTTP_REFERER para ver si permitimos o no el iframe */
if ($_SERVER['HTTP_REFERER'] === 'http://urlpermitida/exacta.html') {
  header('Access-Control-Allow-Origin: http://urlpermitida');
}
/* Resto del código de la página */

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.