X-FRAME-OPTION Probleme

Hallo zusammen,

ich versuche gerade eine Contao 4.4 Seite via <iframe> auf einer "externen" Seite einzubinden.
Beide Seiten haben die gleiche Domain, die Contao Seite auf einer Subdomain bei 1&1, die externe Seite mittles A-Record auf bei einem anderen Hoster.
Beider haben ein HTTPS-Protokoll.

Da die Sicherheitseinstellungen von Contao 4 das laden auf externen Seiten verhindern, würde ich das laden im <iframe> gerne über die htaccess im /root/web und HTTP-Header Befehl X-Frame-Options ermöglichen.

Leider sind die bisherigen Versuche gescheitert.

Code:

---

Header always append X-Frame-Options ALLOW-FROM domain.de

---

verursacht einen 500 Internal Server Error error.

Code:

---

Header always append X-Frame-Options SAMEORIGIN

---

funktioniert ja nicht weil anderer Server/Hoster.

Kann mir jemand einen Rat geben wie ich das hin bekomme.

Vielen Dank im Voraus

Dazu musst du das entsprechende Bundle in deiner app/config/config.yml konfigurieren. Die Default Einstellungen der Contao Managed Edition findest du hier: https://github.com/contao/manager-bu...ig.yml#L74-L88

Theoretisch müsstest du also folgendes in deine config/config.yml einfügen:

Code:

---

nelmio_security:
    clickjacking:
        paths:
            '^/.*': 'ALLOW-FROM https://www.example.org'

---

Siehe https://github.com/nelmio/NelmioSecu...ing-protection

Hi Spooky,

vielen Dank für deine schnelle Hilfe!

Leider funktioniert es nicht. In /app/config gab es auch keine config.yml. Da habe ich natürlich eine erstellt und entsprechend deines Vorschlags/NelmioSecurityBundle konfiguriert.

Ich kenne mich damit überhaupt nicht aus :(, daher die Frage muss ich in der htaccess trotzdem die

Code:

---

Header always append X-Frame-Options ALLOW-FROM domain.de

---

und wenn Ja, dann hier:

Code:

---

<IfModule mod_headers.c>
    # Allow access from all domains for webfonts (see contao/core-bundle#528)
    <FilesMatch "\.(ttf|ttc|otf|eot|woff2?|font\.css)$">
        Header set Access-Control-Allow-Origin "*"
    </FilesMatch>
</IfModule>

Header always append X-Frame-Options ALLOW-FROM domain.de

---

?

Danke dir :)

Die .htaccess Einstellungen bringen nichts (in den meisten Fällen). Du musst wie gesagt das nelmio_security Bundle konfigurieren.

Ich hab grad kein C4 vor mir, ist das nelmio/security-bundle Bestandteil der Managed Edition per Abhängigkeit oder muss man das noch selber installieren?
(composer require nelmio/security-bundle)

Das ist Bestandteil der Standard und Managed Edition:

• https://github.com/contao/standard-e...poser.json#L21
• https://github.com/contao/manager-bu...poser.json#L21

Achja, da hätte ich auch mal reinschauen können. Danke.

Hmm... dann werde ich wohl noch bisschen ausprobieren und testen müssen.

Vielen Dank nochmal

Warum? Funktioniert es noch nicht?

Zitat:

---

Zitat von tshellshock

Leider funktioniert es nicht.

---

Cache var/cache bzw. var/cache/prod gelöscht?

Zitat:

---

Zitat von Spooky

Dazu musst du das entsprechende Bundle in deiner app/config/config.yml konfigurieren. Die Default Einstellungen der Contao Managed Edition findest du hier: https://github.com/contao/manager-bu...o_security.yml

Theoretisch müsstest du also folgendes in deine config.yml einfügen:

Code:

---

nelmio_security:
    clickjacking:
        paths:
            '^/.*': 'ALLOW-FROM https://www.example.org'

---

Siehe https://github.com/nelmio/NelmioSecu...ing-protection

---

Das funktioniert zwar, aber jetzt werden die Modalfenster z.B. bei FileMounts/PageMounts in den Benutzergruppen blockiert.

config.yml:

Code:

---

nelmio_security:
    clickjacking:
        paths:
            '^/.*': 'ALLOW-FROM http://xxx.de'

---

Prompt bleiben die Modalfenster leer. In der Konsole steht:

Code:

---

TypeError: quads is undefined[Weitere Informationen]  box-model.js:413:9
Sicherheitsfehler: Inhalt auf http://xxx.de/ darf keine Daten von https://www.schachbund.de/contao?do=group&act=edit&id=30&rt=OkfgoTXdQyiPYxOlZ8IsdRXa3TvZlRffdBMOlQ9uYVM&ref=0qI74TUA laden.
Load denied by X-Frame-Options: http://xxx.de/ does not permit framing by https://www.schachbund.de/contao?do=group&act=edit&id=30&rt=OkfgoTXdQyiPYxOlZ8IsdRXa3TvZlRffdBMOlQ9uYVM&ref=0qI74TUA.

---

Und nicht nur diese Modalfenster bleiben leer. Auch die FE-Vorschau hat sich verabschiedet:

Code:

---

Unchecked lastError value: Error: Could not establish connection. Receiving end does not exist.  ExtensionCommon.jsm:306
Unchecked lastError value: Error: Could not establish connection. Receiving end does not exist.  ExtensionCommon.jsm:306
Sicherheitsfehler: Inhalt auf http://xxx.de/ darf keine Daten von https://www.schachbund.de/contao/preview laden.
Load denied by X-Frame-Options: http://xxx.de/ does not permit framing by https://www.schachbund.de/contao/preview.  (unbekannt)
Sicherheitsfehler: Inhalt auf http://xxx.de/ darf keine Daten von https://www.schachbund.de/contao/preview laden.
Load denied by X-Frame-Options: http://xxx.de/ does not permit framing by https://www.schachbund.de/contao/preview.

---

Ich nehme an, die anderen Frames sind auch betroffen. Entweder ist an der paths-Anweisung in der config.yml was falsch (erlaubt ist nur noch xxx.de, also auch die eigene Domain ist nicht mehr erlaubt) oder diese Konfigurationsmöglichkeit ist generell falsch. Über .htaccess geht es ja leider nicht mehr in C4. erzeugt bei mir wie beim TO einen 500er.

Was genau steht in deiner config.yml? Vermutlich nicht xxx.de?

Zitat:

---

Zitat von Samson1964

Über .htaccess geht es ja leider nicht mehr in C4.

---

Je nach dem wie PHP bei deinem Webserver ausgeführt wird, geht das gar nicht über die .htaccess, unabhängig von der PHP Webapplikation, die du betreibst.

Zitat:

---

Zitat von Spooky

Was genau steht in deiner config.yml? Vermutlich nicht xxx.de?

---

Code:

---

# This file has been auto-generated during installation
nelmio_security:
    clickjacking:
        paths:
            '^/.*': 'ALLOW-FROM http://zugzwang-muenchen.de'

---

Du scheinst das Backend aber über www.schachbund.de aufgerufen zu haben. Leider kann man bei X-Frame-Options nicht mehrere, spezifische Domains erlauben. Du müsstest also alle erlauben.

Zitat:

---

Zitat von Spooky

Du scheinst das Backend aber über www.schachbund.de aufgerufen zu haben.

---

Worüber auch sonst?!

Zitat:

---

Zitat von Spooky

Leider kann man bei X-Frame-Options nicht mehrere, spezifische Domains erlauben. Du müsstest also alle erlauben.

---

Bisher habe ich X-Frame-Options so verstanden: Diese Header-Kopfzeile wird mit der Antwort mitgeschickt und schachbund.de erlaubt zugzwang-muenchen.de, die Seiten von schachbund.de in einem (i)frame einzubinden. Das funktioniert auch wunderbar. Nur habe ich durch diese Kopfzeile alle Frames blockiert wenn schachbund.de schachbund.de einbinden will. Kommentiere ich die Zeilen aus, funktioniert Contao wieder und zugzwang-muenchen.de wird ausgesperrt.
Wie müßte denn die Zeile aussehen?

Code:

---

'^/.*': 'ALLOW-FROM *'

---

Bekommt dann jede externe Website Zugriff und natürlich auch die eigene Domain?

EDIT: ALLOW-FROM * ist Quatsch. Da funktionieren beide Webseiten nicht. Es gibt aber keine JS-Fehler. Ich würde sagen, die Anweisung ist einfach ungültig.

Zitat:

---

Zitat von Samson1964

Worüber auch sonst?!

---

Du hast ja mehrere Möglichkeiten bei einer Multi-Domain Installation.

Zitat:

---

Zitat von Samson1964

Worüber auch sonst?!

Bisher habe ich X-Frame-Options so verstanden: Diese Header-Kopfzeile wird mit der Antwort mitgeschickt und schachbund.de erlaubt zugzwang-muenchen.de, die Seiten von schachbund.de in einem (i)frame einzubinden.

---

Mit X-Frame-Options: ALLOW-FROM http://zugzwang-muenchen.de/ erlaubst du, dass nur zugzwang-muenchen.de iframes dieser Webapplikation einbinden kann.

Übrigens, ALLOW-FROM wird nicht von allen Browsern unterstützt.

Zitat:

---

Zitat von Samson1964

Wie müßte denn die Zeile aussehen?

Code:

---

'^/.*': 'ALLOW-FROM *'

---

Bekommt dann jede externe Website Zugriff und natürlich auch die eigene Domain?

EDIT: ALLOW-FROM * ist Quatsch. Da funktionieren beide Webseiten nicht. Es gibt aber keine JS-Fehler. Ich würde sagen, die Anweisung ist einfach ungültig.

---

Der Header darf gar nicht mitgesendet werden. Du bräuchtest folgende config:

Code:

---

nelmio_security:
    clickjacking:
        paths:
            '^/.*': ALLOW

---

Zitat:

---

Zitat von Spooky

Du hast ja mehrere Möglichkeiten bei einer Multi-Domain Installation.

---

Ich wollte gerade schreiben, das ist ja keine mehr. Aber stimmt nicht. Es sind nur ein paar weniger geworden.

Der neue Code funktioniert übrigens. Danke Spooky!

Um die Sicherheit ein wenig zu steigern könntest du nur den genauen Pfad freigeben. Wenn der iframe zB die URL https://www.schachbund.de/lorem/ipsum/dolor.html einbindet, könntest du folgende config nehmen:

Code:

---

nelmio_security:
    clickjacking:
        paths:
            '^/lorem/ipsum/dolor.html$': ALLOW

---

(ungetestet)

Hallo zusammen,

ich hänge mich mal an diesen Post dran, in der Hoffnung richtig zu sein :)

Ich habe eine Contao Seite auf Contao 4.4.x umgestellt. Inhalte dieser Seite werden auf mehreren anderen Seiten via Iframe eingebunden. Seit der Umstellung auf Contao 4.4.x klappt das nicht mehr - der IFrame bleibt leer und in der Chrome Console wird folgendes angezeigt:

HTML-Code:

---

Refused to display 'https://##.de/frame.html' in a frame because it set 'X-Frame-Options' to 'sameorigin'.

---

Ich steh mit dem Thema Headers ehrlich gesagt etwas auf Kriegsfuß - daher einfach die Frage: Wie muss ich den Header setzen, dass diese Seiten wieder als IFrame angezeigt werden können.

Danke euch :)

Hast du die anderen Posts gelesen? Was genau benötigst du noch?

gelesen ja.. aber wahrscheinlich nicht wirklich verstanden :(

Vielleicht hier kurz mein Ansatz:

PHP-Code:

---

    public function onKernelResponse(FilterResponseEvent $event)
    {
        if(strpos($event->getRequest()->getPathInfo(), 'display/frame' ) >=1) {

            /** @var Response $response */
            $response = $event->getResponse();
            // $response->headers->set('X-Frame-Options', 'SAMEORIGIN', false);
        }
    } 


---

Also das headers->set.. ist natürlich Blödsinn, hatte ich nur mal rein geschrieben um zu schauen, ob ich den Header setzen kann. Mal angenommen die Domain von der Seite die als IFrame angezeigt werden soll heisst "testdomain.de" - müsste ich dann hier das "Allow from testdomain.de" einsetzen?

Also kann ich mit dem Headereintrag der "fremden" Seite sagen "ja von mir darfst du Inhalte anzeigen" ?

Du brauchst keinen extra Event Listener. Du musst einfach nur wie beschrieben deine app/config/config.yml anpassen.

super - hat gepasst. Vielen Dank!

Zitat:

---

Zitat von Spooky

Um die Sicherheit ein wenig zu steigern könntest du nur den genauen Pfad freigeben. Wenn der iframe zB die URL https://www.schachbund.de/lorem/ipsum/dolor.html einbindet, könntest du folgende config nehmen:

Code:

---

nelmio_security:
    clickjacking:
        paths:
            '^/lorem/ipsum/dolor.html$': ALLOW

---

(ungetestet)

---

Hallo,

mit ist es nicht möglich für eine spezifische Unterseite die Einstellungen anzuwenden. Beispiel: Ich möchte für die Seite https://example.com/testseite den Wert ändern.

Code:

---

'^/testseite': ALLOW

---

hat leider keine Auswirkung.

Hast du den Symfony Application Cache danach neu aufgebaut?

Hallo,

sorry, wenn ich mich hier etwas anhänge - allerdings kämpfe ich aktuell mit einem ähnlichen Problem. Installiert ist Contao 4.4.39 in der managed Edition.

Ich hab eine eigene Extension entwickelt und diese wiederum legt eine eigene Route an über route.yml die wie folgt aussieht:

Code:

---

xyz_widgethtml:
    path: /ip/homepagewidget.html
    defaults:
        _controller: MyBundle:FrontendWidget:generateWidgetHTML
        _scope: frontend
        _token_check: false
    methods: [GET]

---

Im Prinzip gibt das generateWidgetHTML Action nur ein via Twig kompiliertes Template aus.

Jetzt möchte ich wiederum, dass genau die Route kein "X-Frame-Options: SAMEORIGIN“ bekommt, da jeder Seitenbetreiber das ganze per iframe auf seiner Seite einbinden können sollte.

Zuerst hatte ich natürlich probiert im Request-Objekt den Header-Eintrag zu löschen ( $objResponse->headers->remove('X-Frame-Options‘); ) bzw. ihn einfach zu überschreiben. Da beides nicht ging, hatte ich hier gesucht und diesen Thread gefunden.

Wie in dem Thread empfohlen, hatte ich die config.yml angelegt mit folgendem Inhalt:

Code:

---

nelmio_security:
    clickjacking:
        paths:
            '^/ip/homepagewidget.html$': ALLOW'
            '^/.*': SAMEORIGIN

---

Das Ergebnis war, dass der Header-Eintrag weiterhin auf SAMEORIGIN stand. Als ich wiederum den (letzten) Wildcars-Path auf ALLOW stellte, war "X-Frame-Options“ verschwunden. Das gleiche hatte ich noch mit ein paar anderen URLs getestet, die ich direkt in Contao angelegt hatte wie z.B. "/impressum/datenschutz“. Das Ergebnis war immer das gleiche - ich bekam einfach nicht speziell für den Pfad bzw. die spezielle URL X-Frame-Options deaktiviert. Den Cache hatte ich bei jedem Test mittels contao-console cache:clear gelöscht (testweise auch einmal var/cache geleert).

Getestet hatte ich übrigens auch '^/ip\/homepagewidget\.html$': ALLOW’ - und das Ergebnis war identisch.

Übersehe ich hier etwas? Momentan stehe ich zumindest ziemlich auf dem Schlauch.

Gruß,
Jens

Servus,

ich muss mich selber nochmal anhängen. Ich hab jetzt ein dritten Weg gefunden, der mir noch persönlich besser gefällt. Ich überschreibe jetzt die Konfiguration direkt im Bundle, wie unter https://docs.contao.org/books/extend...g-bundles.html aufgeführt.

Eigentlich sogar der „schönere“ weg, wenn man es genau nimmt. Allerdings würde mich es dennoch einmal einmal interessieren, warum die globale Konfiguration nicht funktioniert hat.

Gruß,
Jens

Zitat:

---

Zitat von Jens

Code:

---

nelmio_security:
    clickjacking:
        paths:
            '^/ip/homepagewidget.html$': ALLOW'
            '^/.*': SAMEORIGIN

---

---

Steht in Deiner config.yml nach ALLOW auch ein Hochkomma? Oder nur hier im Forum?

Zitat:

---

Zitat von xchs

Steht in Deiner config.yml nach ALLOW auch ein Hochkomma? Oder nur hier im Forum?

---

Hallo,

sorry - bei meinen Tests war Hochkomma vorhanden. Das hatte sich hier eingeschmuggelt, da ich es auch einmal mit 'ALLOW-FROM https://www.xyz.de' getestet hatte zuletzt.

Gruß,
Jens

Zitat:

---

Zitat von Jens

bei meinen Tests war Hochkomma vorhanden

---

War das dann vielleicht der Grund, dass es nicht funktioniert hat?

Zitat:

---

Zitat von xchs

War das dann vielleicht der Grund, dass es nicht funktioniert hat?

---

leider nein … hatte schon beides getestet. In beiden Fällen gab es keine Reaktion. Ich hab es heute auch nochmals getestet um sicher zu sein, dass der Regexp für die Pfadangabe auch kein Fehler hatte.

Code:

---

nelmio_security:
    clickjacking:
        paths:
            '^/ip/homepagewidget\.html': ALLOW
            '^/.*': SAMEORIGIN

---

Das ist jetzt praktisch absolut identisch mit dem, wie ich die Extension Konfiguration überschreibe (innerhalb meiner eigenen Extension).

PHP-Code:

---

  /**
     * Allows a plugin to override extension configuration.
     *
     * @param string           $extensionName
     * @param array            $extensionConfigs
     * @param ContainerBuilder $container
     *
     * @return array
     */
    public function getExtensionConfig($extensionName, array $extensionConfigs, ContainerBuilder $container) {
        if ('nelmio_security' !== $extensionName) {
            return $extensionConfigs;
        }

        $customCors = [
            '^/ip/homepagewidget\.html' => 'ALLOW'
        ];

        foreach ($extensionConfigs as &$extensionConfig) {
            if (isset($extensionConfig['clickjacking'])
                && is_array($extensionConfig['clickjacking']['paths'])
            ) {
                $extensionConfig['clickjacking']['paths'] = $customCors + $extensionConfig['clickjacking']['paths'];
            }
        }

        return $extensionConfigs;
    } 


---

Von daher wüsste ich jetzt echt nicht mehr weiter. Vor allem, da praktisch alle weiteren Optionen die nelmio_security bietet ja einwandfrei funktionieren und korrekt gesetzt werden. :confused:

Jedenfalls Danke für deine Hilfe :-)

Gruß,
Jens

Vielen Dank an Alle - der Thread hat mir sehr geholfen!

@Jens: Ich stehe gerade genau vor dem gleichen Problem. Allerdings mit der 4.8 Version. Konntest du das Problem lösen?

Zitat:

---

Zitat von mario-postyou

@Jens: Ich stehe gerade genau vor dem gleichen Problem. Allerdings mit der 4.8 Version. Konntest du das Problem lösen?

---

Servus,

mit 4.8 habe ich jetzt noch nicht soviel gearbeitet (auch wenn ich weiß, dass dort die gleiche Library verwendet wird).

Was 4.4 angeht, so hab ich nicht weiter nachgeschaut, warum die Konfiguration einzelner Pfade in der config.yml nicht funktioniert hat. Für mein Zweck (einer API-Schnittstelle) war der Weg das ganze im Programmcode des Moduls zu konfigurieren einfach sinnvoller. Der Weg *sollte* eigentlich auch in Contao 4.8 funktionieren.

Gruß
Jens

Jens, brauchst du denn die SAMEORIGIN-Anweisung überhaupt noch? Ich dachte, das ist die Voreinstellung.
Ich meine so müsste es reichen:

Zitat:

---

Zitat von Jens

Code:

---

nelmio_security:
    clickjacking:
        paths:
            '^/ip/homepagewidget\.html': ALLOW
            '^/.*': SAMEORIGIN

---

---

Zitat:

---

Zitat von folkfreund

Jens, brauchst du denn die SAMEORIGIN-Anweisung überhaupt noch? Ich dachte, das ist die Voreinstellung.
Ich meine so müsste es reichen:

---

Die Frage hatte ich mir auch gestellt und daher beides getestet (zumindest hatte es keinen Einfluss auf den vorher festgelegten Pfad - ob SAMEORIGIN für alle Seiten gesendet wurde, weiß ich nicht mehr).

Die Anleitung unter https://github.com/nelmio/NelmioSecu...ecurity-policy führt in seinen Beispielen jedenfalls immer am Ende des Regel-Sets eine „Catch-All“-Regel (ähnlich bei Firewalls). Zumindest würde es Sinn ergeben, da ich ja die Default-Konfiguration praktisch komplett überschreibe (also den Satz von Regeln).

Vielleicht teste ich es „just-for-fun“ nochmal in den kommenden Tagen, auch wenn mir die Lösung im Programmcode (innerhalb des API Moduls) eigentlich generell besser gefällt. Der Vorteil ist, dass man bei einer Neuinstallation nicht vergisst in der config.yml die gewünschten URLs freizugeben.

Gruß
Jens

Hallo, ich habe ebenfalls das Problem dass eine Contao-Seite nicht mittels IFrame bei fremden Domains eingebunden werden kann. Es handelt sich um Contao 4.40.
Ich habe bereits eine config.yml mit folgendem Code:

Code:

---

nelmio_security:
    clickjacking:
        paths:
            '^/.*': ALLOW

---

unter app/config/ hinterlegt. Den Cache habe ich auch gelöscht.

Folgende Fehlermeldung erhalte ich:
Refused to display 'https://www.Platzhalter.de/' in a frame because an ancestor violates the following Content Security Policy directive: "frame-ancestors 'self'".


Bei einer 4.4.36 Contao Version hat dieser Vorgehensweise problemlos funktioniert.

Frage, liegt das an Contao oder am Server oder habe ich irgendetwas übersehen?

Vielen Dank.

Herzliche Grüße
Beate

Moderation: Code, Config & Fehlermeldungen bitte immer in [code] Tags posten (habe ich bereits für dich erledigt).

- - - Aktualisiert - - -

Zitat:

---

Zitat von beatem

Den Cache habe ich auch gelöscht.

---

Also du hast den Symfony Application Cache neu aufbauen lassen? (Über Contao Manager oder Konsole.)

Hallo,
danke für die schnelle Rückmeldung. Ich habe den Application Cache über den Contao Manager neu aufbauen lassen.

Habe in config.yml das einmal gelöst für eine Domain:

Code:

---

nelmio_security:
    clickjacking:
        paths:
            '^/.*': 'ALLOW-FROM https://domain.abc'

---

Allerdings zickt bereits Firefox mit dieser Art Einbindung. Gemäss Foren müsste in Zukunft auf «frame-ancestors» statt «allow-from» gesetzt werden für die Kompatibilität.
https://stackoverflow.com/a/58906523

Wie konfigurieren wir dies in config.yml oder htaccess, kennt sich jemand aus?

Zitat:

---

Zitat von truni

Habe in config.yml das einmal gelöst für eine Domain:

Code:

---

nelmio_security:
    clickjacking:
        paths:
            '^/.*': 'ALLOW-FROM https://domain.abc'

---

Allerdings zickt bereits Firefox mit dieser Art Einbindung. Gemäss Foren müsste in Zukunft auf «frame-ancestors» statt «allow-from» gesetzt werden für die Kompatibilität.
https://stackoverflow.com/a/58906523

Wie konfigurieren wir dies in config.yml oder htaccess, kennt sich jemand aus?

---

Servus,

ich hab es mir einmal angeschaut und momentan würde ich sagen, dass du dafür NelmioSecurityBundle nicht wirklich nutzen kannst.

Zuerst: prinzipiell unterstützt die Symfony Erweiterung CSP. Allerdings gibt es 2 Einschränkungen, wovon eine es für dich nutzlos macht:

a) Pfad-abhängige CSP-Regeln existieren nicht - sie existieren ausschließlich für gesamte Hostnames. Das Problem: man kann nicht z.b. sagen, gib ^/test/iframe.html für alle oder eine spezifische Domain frei und den Rest nicht.
b) Laut Beschreibung wird frame-ancestors als Parameter nicht unterstützt

Der einfachste Weg dürfte damit erst einmal sein, dass du den Header tatsächlich mit einer .htaccess Datei anlegst.

Gruß
Jens

Zitat:

---

Zitat von Jens

Der einfachste Weg dürfte damit erst einmal sein, dass du den Header tatsächlich mit einer .htaccess Datei anlegst.

---

Response Header von Requests, die mit PHP über PHP-FPM/CGI/FastCGI verarbeitet wurden, können nicht über die Server Konfiguration des Apache nochmals verändert werden.

Zitat:

---

Zitat von Spooky

Response Header von Requests, die mit PHP über PHP-FPM/CGI/FastCGI verarbeitet wurden, können nicht über die Server Konfiguration des Apache nochmals verändert werden.

---

stimmt, daran hatte ich nicht gleich gedacht. In diesem Fall müsste man tatsächlich die Header direkt in der Vhost-Konfiguration setzen (was auch der Weg ist, den ich aktuell einschlage).

Hat jemand von euch vielleicht eine bessere Idee, da ich persönlich das ganze in der vhost-Konfiguration eigentlich unschön finde?

Aktuell fallen mir nur zwei weitere Wege ein:

a) https://github.com/nelmio/NelmioCorsBundle
b) Handarbeit in folgendem Stil:

PHP-Code:

---

<?php
namespace XYZ\EventListener;

use Symfony\Component\HttpKernel\Event\FilterResponseEvent;

class CspHeader {
public function onKernelResponse(FilterResponseEvent $event) {
    $response = $event->getResponse();
    $responseHeaders = $response->headers;

    $responseHeaders->set('Content-Security-Policy', 'xyz');
    $event->setResponse($response);
}
}

---

Das nur so als grobe Idee ...

Gruß
Jens

Nachtrag: NelmioCorsBundle bringt einem leider auch nicht weiter, was Content-Security-Policy angeht (hatte nicht richtig hingeschaut)

CSP kann man doch auch über das NelmioSecurityBundle setzen, oder nicht? Zumindest steht das in der README.

Zitat:

---

Zitat von Spooky

CSP kann man doch auch über das NelmioSecurityBundle setzen, oder nicht? Zumindest steht das in der README.

---

jein, prinzipiell ja - aber leider stehen nicht alle Einstellungen zur Verfügung (z.B. das erwähnte "frame-ancestors") und es besteht auch keine Möglichkeit unterschiedliche Regeln für verschiedene Pfade zu erzeugen. Die Regeln werden nur entweder für alle Hostnames oder einen spezifischen gesetzt.

Zumindest letzteres kann mit dem zweiten Bundle von Nelmio umgangen werden. Ob Frame-Ancestors dort zur Verfügung stehen, hab ich allerdings nicht getestet. Allerdings sollten in dem Modul wirklich alle zur Verfügung stehen.

Gruß
Jens

Die Einstellung frame-ancestors wird für CSP zumindest in der README extra erwähnt.

Zitat:

---

Zitat von Spooky

Die Einstellung frame-ancestors wird für CSP zumindest in der README extra erwähnt.

---

hmm, stimmt ... mein Fehler. Ich hatte NelmioSecurityBundle und NelmioCorsBundle falsch in Erinnerung.

Was ich allerdings richtig in Erinnerung hatte ist, dass keine Pfad-bezogenen Regeln gesetzt werden können. Also möchte man z.B. für https://www.example.org/ andere Regeln als für https://www.example.org/api/.* - dann hat man immer noch ein Problem, da man nur für unterschiedliche Hostnamen unterschiedliche Regeln setzen kann. Es macht ja leider nicht unbedingt immer Sinn, z.B. die gesamte Seite in einem iframe zu erlauben, sondern vielleicht nur bestimmte Unterseiten.

Aus dem Stegreif würde ich allerdings sagen, dass man, wie hier im Thread schon erwähnt, über getExtensionConfig ja notfalls die Einstellungen überschreiben können sollte. Ansonsten bleibt immer noch die Variante, indem man den Header selber setzt.

Gruß
Jens

Ja, notfalls muss man es selbst über eben einen kernel.response Event Listener machen.

Die htaccess Variante geht auf alle Fälle, die Nelmio Lösung müsste laut Doku so greifen (ungetestet)
https://pdir.de/news/contao-4-x-fram...me.html#update

Zitat:

---

Zitat von devster

Die htaccess Variante geht auf alle Fälle

---

Sicher? Auch in einem PHP-FPM/FastCGI Setup?

Zitat:

---

Zitat von Spooky

Sicher? Auch in einem PHP-FPM/FastCGI Setup?

---

Ja sollte gehen, es kann natürlich sein das dein Hoster das in der .htaccess nicht unterstützt, hatte ich aber noch nicht den Fall.

Hm, ja so wie es aussieht ging das nur in Apache 2.2.x nicht.

Ich knüpf hier mal an.

die app/config/config.yml sieht bei mir wie folgt aus:

Code:

---

nelmio_security:
    csp:
        enforce:
            frame-ancestors:
                - 'self'
                - demo.de

---

Leider erhalte ich nach wie vor noch eine Fehlermeldung, wenn ich Inhalte von "demo.de" per iFrame anzeigen lasse. Kann mir da jemand helfen?

Auch ich komme nicht weiter, in einer HTML5-Seite mit der URL

HTML-Code:

---

https://subdomain01.domain01.de

---

möchte ich via iFrame eine Contao 4.9 Installation mit der URL

HTML-Code:

---

https://subdomain02.domain01.de

---

anzeigen und erhalte den Hinweis, dass die Contao-Site innerhalb des iFrames nicht angezeigt werden darf. Reicht hier der htaccess-Eintrag im Verzeichnis /web der Contao-Installation, wie muss der aussehen und muss ich sonst noch was tun? Dieser htaccess-Eintrag im Verzeichnis /web:

Code:

---

<IfModule mod_headers.c>
    Header always append Content-Security-Policy "frame-ancestors 'self' *.domain01.de"
</IfModule>

---

hat bisher bei mir nicht funktioniert. Hoster ist all-inkl.com. Danke für Tipps und Hinweise!

Der Eintrag:

Code:

---

nelmio_security:
    csp:
        enforce:
            frame-ancestors:
                - 'self'
                - subdomain02.domain01.de

---

in der config/config.yml funktioniert bei mir bei all-inkl.com :D

Zitat:

---

Zitat von Spooky

Der Header darf gar nicht mitgesendet werden. Du bräuchtest folgende config:

Code:

---

nelmio_security:
    clickjacking:
        paths:
            '^/.*': ALLOW

---

---

Wie funktioniert das ganze bei "Contao Open Source CMS 3.5.30" ?
Hier hab ich ja nicht die Datei app/config/config.yml ?

Möchte einfach auf meiner Contao Seite ein Iframe einer anderen Website einbinden (die andere Website hat kein ssl)..

Zitat:

---

Zitat von LenaMaurer

Möchte einfach auf meiner Contao Seite ein Iframe einer anderen Website einbinden

---

Die andere Website muss die Response Header entsprechend setzen. In deiner Contao Installation kannst du da nichts ausrichten.

Zitat:

---

Zitat von LenaMaurer

(die andere Website hat kein ssl)..

---

Dann darf auch deine Website kein HTTPS Protokoll benutzen, was natürlich nicht empfehlenswert ist. Die andere Website muss ein SSL Zertifikat zur Verfügung stellen.

Ich habe eine Impressum-Widget, dass ich gerne bei meinen Webseiten per iFrame einbetten möchte.
Mit diesem Code klappt das auch.

Code:

---

nelmio_security:
    clickjacking:
        paths:
            '^/.*': ALLOW

---

Ich habe das Widget allerdings auf eine Subdomain angelegt https://widget.domain.de (über die normale Seite
erhalte ich die Cookie-Abfrage). Ich weiß allerdings nicht, wie ich den Pfad hier benennen soll. So geht es nicht.
Vielleicht hat ja jemand eine Idee.

Code:

---

nelmio_security:
    clickjacking:
        paths:
            '^widget.domain/.*': ALLOW

---

Zitat:

---

Zitat von Frankkirsch

Ich habe eine Impressum-Widget, dass ich gerne bei meinen Webseiten per iFrame einbetten möchte.
Mit diesem Code klappt das auch.

Code:

---

nelmio_security:
    clickjacking:
        paths:
            '^/.*': ALLOW

---

Ich habe das Widget allerdings auf eine Subdomain angelegt https://widget.domain.de (über die normale Seite
erhalte ich die Cookie-Abfrage). Ich weiß allerdings nicht, wie ich den Pfad hier benennen soll. So geht es nicht.
Vielleicht hat ja jemand eine Idee.

Code:

---

nelmio_security:
    clickjacking:
        paths:
            '^widget.domain/.*': ALLOW

---

---

Servus,

ich selber habe es zwar per PHP in einem Widget-Plugin gesetzt (daher ohne Pistole, Gewehr oder sonst etwas in der Art :-P), aber im Endeffekt sollte die Konfiguration wie folgt aussehen:

Code:

---

nelmio_security:
    clickjacking:
        paths:
            '^/pfad/.*': ALLOW
            '^/.*': DENY
        hosts:
            - '^widget\.domain$'

---

Gruß,
Jens

Ich bilde mir ein, mehrfach alles in diesem Thread durchgegangen zu sein. Ich möchte gern ein Video einer fremden Domain als iframe einbinden und erhalte

Refused to display 'https://app.slidepresenter.com/presentations/xxyz' in a frame because it set 'X-Frame-Options' to 'sameorigin'.

Meine config,yml sieht so aus:

Code:

---

doctrine:
    dbal:
        connections:
            default:
                default_table_options:
                    charset: utf8
                    collation: utf8_unicode_ci
nelmio_security:
    clickjacking:
        paths:
            '^/.*': ALLOW

---

Ich poste sie mal ganz für den Fall, dass irgendwo noch was anders eingerückt sein müsste.

Bei mir läuft Contao 4.13.23.

Die unmittelbar vor diesem Beitrag stehende Lösung funktioniert bei mir nicht. "hosts" wird abgelehnt.

Wenn ich es richtig verstehe, ist keine Änderung der htaccess oder sowas nötig. Ich verstehe einfach nicht, was ich falsch mache und bin für jeden Tipp dankbar.

Den Production Cache habe ich über den Contao-Manager neu erstellen lassen.

Wenn die Seite unter app.slidepresenter.com die Einbindung nicht erlaubt, kannst du da einstellen was du willst, wird nicht funktionieren.
In dem Thread hier geht es um die Einbindung einer Contao Seite auf einer externen Seite, also genau das Gegenteil von dem was du willst.

Zitat:

---

Zitat von lbableck

Wenn die Seite unter app.slidepresenter.com die Einbindung nicht erlaubt, kannst du da einstellen was du willst, wird nicht funktionieren.
In dem Thread hier geht es um die Einbindung einer Contao Seite auf einer externen Seite, also genau das Gegenteil von dem was du willst.

---

Oh Mann, ich bin so bescheuert. Jetzt macht das alles auch Sinn für mich :) Vielen Dank.

ich muss eine Contao-Seite als iFrame zulassen - mit

Code:

---

nelmio_security:
    clickjacking:
        paths:
            '^/.*': ALLOW

---

in der config.yml ist die Browsermeldung weg und die Seite wird angezeigt...

Das Contao ist eine Multi-Domain-Installation und ich würde die Freigabe gern nur auf eine Domain bzw. Startpunkt begrenzen - geht sicher... in den Postings konnte ich es nicht finden.

Edit:
siehe Clickjacking Protection

Code:

---

nelmio_security:
    clickjacking:
        paths:
            '^/iframes/': ALLOW
            '^/.*': DENY
        content_types: []
        hosts:
            - '^foo\.com$'
            - '\.example\.org$'

---

Update:
Auf der als iFrame anzuzeigender Seite ist ein MP_Forms eingebaut... wenn man das als iFrame sich ansieht und ausführt, kommt es bei Anzeige des 2. Step[p]s zu einem Error wg. CSRF-Token... im vorhergehenden Step ist der Token aber als hidden field mit bei... hab mal die Prüfung angestellt und alles geht wieder ... schöner wäre, wenn das auch mit Prüfung ginge

Update II:
bei dem MP_Form sollten im letzten Stepp die Werte angezeigt werden - bei FF ging das in Chrome und Edge nicht... mit dem Eintrag aus #18 geht dann auch das wieder

Code:

---

# .htaccess
<IfModule mod_headers.c>
  Header always append Content-Security-Policy "frame-ancestors 'self' http://www.quandoo-partner.com https://www.quandoo-partner.com"
</IfModule>

---