Cybersécurité externe · En-têtes de sécurité · règle CYB-HDR-05
Le site interdit son inclusion dans un cadre tiers
En bref : L'inclusion dans un cadre tiers est encadrée.
Gravité : Moyenne
Pourquoi c'est important
Un site piégé peut afficher vos pages sous un calque invisible et faire cliquer vos visiteurs à leur insu.
L'écart tel que le rapport l'écrit : Votre site peut être affiché dans la page d'un autre site (détournement de clic)
Comment corriger
Interdisez l'inclusion de vos pages dans un cadre tiers.
Qui s'en charge : votre hébergeur · effort : quelques minutes
Pour votre développeur
En-têtes à envoyer
Content-Security-Policy: frame-ancestors 'self'
X-Frame-Options: SAMEORIGINApache (mod_headers), dans le VirtualHost HTTPS
Header always set X-Frame-Options "SAMEORIGIN"Nginx 1.7.5 ou plus, dans le bloc server HTTPS (un add_header au niveau location annule ceux du niveau server)
add_header X-Frame-Options "SAMEORIGIN" always;La source
ANSSI, Recommandations pour la mise en œuvre d'un site web : maîtriser les standards de sécurité côté navigateur, guide ANSSI-PA-009, version 2.0 du 28/04/2021, Section 5.3, recommandations R17 (CSP frame-ancestors) et R18 (X-Frame-Options)
R17 [...] il est recommandé de mettre en place une protection contre le détournement de clic en définissant l'attribut CSP frame-ancestors à une liste d'autorisations minimale. R18 [...] une protection complémentaire [...] X-Frame-Options strict.
Source vérifiée le 04/11/2026. Le rapport constate un écart à cette règle ; il ne rend pas d'avis juridique.
Dans la même catégorie
Votre site respecte-t-il cette règle ?
L'audit vérifie ce point et les 84 autres, en quelques minutes, sans rien forcer.
29,99 € HT l'audit complet d'un site (35,99 € TTC). Rapport en quelques minutes, facture à votre entreprise.