クリックジャッキング対策を全HTMLへ適用とは？X-Frame-Optionsの判定・設定方法・診断基準

クリックジャッキング対策を全HTMLへ適用とは

クリックジャッキング対策を全HTMLへ適用とは、ページを他サイトの枠（frame・iframe 等）の中に表示させないための指示（X-Frame-Options の DENY／SAMEORIGIN、または CSP の frame-ancestors）を、トップページだけでなく下層ページやエラーページを含むすべてのHTML応答に付けることです。

クリックジャッキングは、攻撃者のページに正規サイトを透明な iframe で重ね、利用者に別のボタンを押しているつもりで正規サイト上の操作をさせる攻撃です。対策は、ページを他サイトの枠の中に表示させないよう、ブラウザに指示することです。

セキュリティAIチェッカーのこの項目は、トップページと巡回した下層ページの「すべてのHTML応答」に、ブラウザが実際に有効と扱う埋め込み制限（CSP の frame-ancestors、または X-Frame-Options の DENY／SAMEORIGIN）があるかを確認します。IPA の推奨する X-Frame-Options でも合格とする、互換性重視の項目です。より厳格な ASVS 5.0.0 の要件（frame-ancestors 必須）は、別項目「CSP frame-ancestorsを全HTMLへ適用」で評価します。トップページ単体の判定は「クリックジャッキング対策」で行い、このページは全HTMLへの適用範囲に絞って解説します。

クリックジャッキング対策の2つの仕組みとブラウザの判定

X-Frame-Options と CSP frame-ancestors

ブラウザの判定手順（HTML Living Standard）

HTML 仕様の「X-Frame-Options への準拠の確認」の手順は次のとおりです。

1. 強制モード（Report-Only でない）のCSPに frame-ancestors があれば、X-Frame-Options は無視し、CSP で判定する。
2. X-Frame-Options の値をカンマで分割し、小文字化して重複を除いた集合を作る。
3. 集合の要素が2つ以上で、deny・allowall・sameorigin のいずれかを含む場合は、表示を拒否する（設定の混乱とみなし安全側に倒す）。
4. 要素が2つ以上で上記を含まない場合は、ヘッダーがないものとして扱う。
5. 要素が1つで deny なら拒否、sameorigin なら全祖先が同一オリジンのときだけ表示する。
6. それ以外（ALLOW-FROM など無効な単独値）はヘッダーがないものとして扱う。

このため、WebサーバーとCMSの両方が付与して X-Frame-Options: SAMEORIGIN, SAMEORIGIN となった応答は、重複が除かれて sameorigin として有効です。ALLOW-FROM は HTML 仕様で「実装しない」とされ、現行ブラウザでは保護になりません。

クリックジャッキング対策についてよくある誤解

• 「<meta http-equiv="X-Frame-Options"> で設定できる」：X-Frame-Options はHTTPヘッダーでのみ有効です。CSP の frame-ancestors も <meta> では無視されます（CSP3）。
• 「JavaScript のフレーム破り（if (top !== self)）で十分」：sandbox 属性付き iframe などで回避される場合があり、OWASP も主対策としては推奨していません。
• 「トップページだけで良い」：攻撃者が狙うのは、申請送信・設定変更・ログアウトなどのボタンがある下層ページです。

クリックジャッキング対策を全HTMLへ適用の診断基準（セキュリティAIチェッカー）

取得対象

• トップページ（最終応答）と、巡回で発見した同一オリジンの下層ページのうち最大2ページ（GET、リダイレクト最大2回、応答上限180KB、取得失敗ページは除外）。
• そのうち Content-Type が text/html の応答、または本文に <html を含む応答を「HTML応答」として評価します。エラーページ（404等）もHTMLなら対象です。

「保護あり」とする条件

各HTML応答について、次の順で判定します。

1. Content-Security-Policy ヘッダー（複数ある場合はカンマで連結した値）に frame-ancestors ディレクティブがある場合は、最初に現れた frame-ancestors の値を空白で区切ったトークン単位で評価します。値が空でなく、*・https:・http:（スキームだけの指定）のいずれのトークンも含まなければ保護あり、1つでも含むか空なら保護なし（このとき X-Frame-Options はブラウザに無視されるため評価しない）。'self' * のように他の値と併記していても保護なしです。
2. frame-ancestors がない場合は、X-Frame-Options の値をカンマで分割・小文字化した集合に deny または sameorigin が含まれれば保護あり（HTML 仕様の処理に沿った判定です。ALLOWALL と別の無効値だけを併記した応答は、ブラウザは安全側で拒否しますが、意図した保護ではないため保護なしとします）。
3. いずれにも該当しなければ保護なし。

Content-Security-Policy-Report-Only と <meta> によるCSPは、ブラウザが埋め込み制限として強制しないため評価しません。

判定条件

重み3のため、× の場合は3点分を失います。根拠欄に「何ページ中何ページで不足か」を表示します。

自治体サイトでの判定例

クリックジャッキング対策が一部のページにないとどんなリスクがあるか

• 意図しない操作：ログイン中の利用者に、電子申請の送信、メール配信設定の変更、公開範囲の変更などをクリックだけで実行させられます。IPA は、脅威はマウス操作だけで実行できる処理に限られる点以外は CSRF と同様だと説明しています。
• 入力の誘導：ドラッグ＆ドロップや入力欄を重ねることで、利用者に情報を入力させる手法も知られています。
• 実例：2008年に Robert Hansen と Jeremiah Grossman が、Adobe Flash Player の設定画面を重ねてカメラ・マイクを許可させる手法を公表し、クリックジャッキングという名称が広まりました。2009年には Twitter で、クリックするとそのメッセージを自分のアカウントで投稿してしまう「Don't Click」攻撃が拡散しました。
• 信頼の悪用：自治体の正規ドメインのページが偽サイトの中に表示されると、利用者は正規の操作だと信じやすくなります。

クリックジャッキング対策を全HTMLへ適用する設定方法（Apache・nginx・IIS・Next.js）

基本方針

• 埋め込みが不要なサイトは、全HTML応答に frame-ancestors 'self'（または 'none'）と X-Frame-Options: SAMEORIGIN（または DENY）を併記します。CSP 対応ブラウザは frame-ancestors を、古いブラウザは X-Frame-Options を使います。
• 他サイトへの埋め込みを許可するページだけ、frame-ancestors で許可先を列挙し、そのページでは X-Frame-Options を外します（併記すると CSP 対応ブラウザでは CSP が優先されますが、非対応ブラウザでは表示できなくなります）。

Apache（.htaccess）

<IfModule mod_headers.c>
  Header always set X-Frame-Options "SAMEORIGIN"
  Header always set Content-Security-Policy "frame-ancestors 'self'"
</IfModule>

既にCSPを設定している場合は、既存の Content-Security-Policy の値に ; frame-ancestors 'self' を追記します。set で別の値を上書きすると既存のCSPが失われます。

nginx

add_header X-Frame-Options "SAMEORIGIN" always;
add_header Content-Security-Policy "frame-ancestors 'self'" always;

location ブロック内に別の add_header があると上位の設定は継承されません。共通ヘッダーを include ファイルにまとめて各ブロックで読み込みます（nginx 1.29.3 以降は add_header_inherit merge; でも継承できます）。

IIS（web.config）

<system.webServer>
  <httpProtocol>
    <customHeaders>
      <add name="X-Frame-Options" value="SAMEORIGIN" />
      <add name="Content-Security-Policy" value="frame-ancestors 'self'" />
    </customHeaders>
  </httpProtocol>
</system.webServer>

Next.js（Vercel）

// next.config.js
module.exports = {
  async headers() {
    return [{
      source: "/:path*",
      headers: [
        { key: "X-Frame-Options", value: "SAMEORIGIN" },
        { key: "Content-Security-Policy", value: "frame-ancestors 'self'" },
      ],
    }];
  },
};

全HTMLに付いているかの確認方法

for u in / /kurashi/ /no-such-page; do
  echo "== $u"
  curl -s -o /dev/null -D - "https://www.example.lg.jp$u" | grep -iE '^(x-frame-options|content-security-policy):'
done

ブラウザで別オリジンのテストページに <iframe src="https://www.example.lg.jp/"> を置き、表示が拒否されることも確認します。

サイトを壊さないための注意点（ガードレール）

• 導入前に、自サイトを他サイト（県のポータル、観光協会、議会中継、地図サービス等）へ iframe で埋め込ませていないかを確認します。埋め込みが必要なページに DENY を付けると表示されなくなります。
• 自サイト内で自分のページを iframe 表示している場合（印刷用プレビュー、CMS の編集画面等）は DENY ではなく SAMEORIGIN／'self' を使います。

よくある質問（FAQ）

参考資料

• IPA「安全なウェブサイトの作り方」1.9 クリックジャッキング
• HTML Living Standard（X-Frame-Options の処理）
• OWASP ASVS 5.0.0 V3 Web Frontend Security（V3.4.6）
• OWASP Clickjacking Defense Cheat Sheet
• W3C Content Security Policy Level 3
• RFC 7034 HTTP Header Field X-Frame-Options
• MDN X-Frame-Options
• MDN CSP: frame-ancestors
• Apache HTTP Server mod_headers
• nginx ngx_http_headers_module
• Next.js headers

「クリックジャッキング対策を全HTMLへ適用」と関連する診断項目

• CSP frame-ancestorsを全HTMLへ適用high
• クリックジャッキング対策high
• ページ間のセキュリティヘッダー整合性medium
• MIMEスニッフィング対策medium
• Referrer-Policymedium
• Permissions-Policylow
• Cross-Origin-Opener-Policylow
• Cross-Origin-Embedder-Policylow