Einbindung in iframe erlauben

[cont772]

Hallo,

ich möchte einer "Fremddomain" erlauben, meine Seite in einem iframe darzustellen.

Ich habe nun schon viel über CORS, Content-Security-Policy, etc. gelesen.
Leider ist mir nach wie vor nicht klar, was ich alles konfigurieren muss.

Kann mir jemand erklären, was genau ich in meiner Contao-Konfiguration einstellen und ggf. in der .htaccess hinterlegen muss?

Danke & Grüße

[amateur]

Kann man das überhaupt? Verhindern, dass eine andere Seite Deine einbindet?

[BennyBorn]

Siehe https://community.contao.org/de/show...PTION-Probleme

[cont772]

Danke. Den Artikel hatte ich auch schon gefunden. Da gibt es viele Ideen und "Ansätze".
Aber ich hatte gehofft, dass es eine "offizielle" oder finale Lösung gibt, die man verlässlich und ohne Risiko umsetzten kann ...

- - - Aktualisiert - - -

Kann man das überhaupt? Verhindern, dass eine andere Seite Deine einbindet?

Ich will es nicht "verhindern" (Dafür sorgen schon die Browser), sondern erlauben...

[BennyBorn]

Danke. Den Artikel hatte ich auch schon gefunden. Da gibt es viele Ideen und "Ansätze".
Aber ich hatte gehofft, dass es eine "offizielle" oder finale Lösung gibt, die man verlässlich und ohne Risiko umsetzten kann ...

Die Lösung von Spooky ist die "offizielle" Lösung. Verhindert wird die Einbettung durch das Nelmio Security Bundle und über entsprechende Anpassungen in der config/config.yml kann man es eben ändern

nelmio_security:
    clickjacking:
        paths:
            '^/.*': 'ALLOW-FROM https://www.example.org'

[ChrisT]

Die Lösung von Spooky ist die "offizielle" Lösung. Verhindert wird die Einbettung durch das Nelmio Security Bundle und über entsprechende Anpassungen in der config/config.yml kann man es eben ändern

nelmio_security:
    clickjacking:
        paths:
            '^/.*': 'ALLOW-FROM https://www.example.org'

https://developer.mozilla.org/en-US/...tiredLocale=de

ALLOW-FROM=url
This is an obsolete directive that no longer works in modern browsers

Gibt es eine zuverlässige und zeitgemässe Lösung dafür?

[Fehrmann]

Ich hatte das Problem neulich auch und habe es ebenfalls über die `config/config.yml` gelöst:

nelmio_security:
  csp:
    enabled: true
    enforce:
      frame-ancestors:
        - https://www.example.de

Viele Grüße
René

[ChrisT]

Ich hatte das Problem neulich auch und habe es ebenfalls über die `config/config.yml` gelöst:

nelmio_security:
  csp:
    enabled: true
    enforce:
      frame-ancestors:
        - https://www.example.de

Viele Grüße
René

Danke für den Tipp – falls die angestrebte Lösung nicht funktioniert, werde ich das gerne probieren. https://www.example.de wäre dann die Domain der Ausgabeseite?

[Fehrmann]

Danke für den Tipp – falls die angestrebte Lösung nicht funktioniert, werde ich das gerne probieren. https://www.example.de wäre dann die Domain der Ausgabeseite?

Das wäre die Domain, auf der deine Seite als iFrame eingebunden werden soll.

[Druckfrosch]

Ich hatte das Problem neulich auch und habe es ebenfalls über die `config/config.yml` gelöst:

nelmio_security:
  csp:
    enabled: true
    enforce:
      frame-ancestors:
        - https://www.example.de

Viele Grüße
René

Hallo Rene, hat sich mittlerweile etwas an der Syntax geändert.
Bei mir klappt der Eintrag mit entsprechender Domain und Anwendungscache erneuern leider nicht. (Contao 4.13.19)

[Fehrmann]

Hi,

wir haben das nur bei einem Projekt aktuell im Einsatz (derzeit 4.13.18) und dort funktioniert die Einstellung so wie bereits dargestellt (gerade nochmal gecheckt).

Was sagt denn auf der Seite mit dem iFrame die Entwickler-Konsole für den Request? (meist steht dort dann, abgelehnt wegen CSP sowieso)

Gruss
René

[Druckfrosch]

Hi,

wir haben das nur bei einem Projekt aktuell im Einsatz (derzeit 4.13.18) und dort funktioniert die Einstellung so wie bereits dargestellt (gerade nochmal gecheckt).

Was sagt denn auf der Seite mit dem iFrame die Entwickler-Konsole für den Request? (meist steht dort dann, abgelehnt wegen CSP sowieso)

Gruss
René

Hier kommt:
refused to frame 'https://besser-zum-druck.de/' because an ancestor violates the following Content Security Policy directive: "frame-ancestors https://app.visitlead.com".

[Spooky]

Hier kommt:
refused to frame 'https://besser-zum-druck.de/' because an ancestor violates the following Content Security Policy directive: "frame-ancestors https://app.visitlead.com".

Poste deine aktuelle config.yml

[Druckfrosch]

Hier kommt:
refused to frame 'https://besser-zum-druck.de/' because an ancestor violates the following Content Security Policy directive: "frame-ancestors https://app.visitlead.com".

Es lag an der Domain. Richtig war https://app.visitlead.de

Danke