Contao in iFrame auf fremder Domain anzeigen lassen - X-Frame-Option Problem

[Thomas Hinze]

Hallo zusammen,

ich weiß keinen Rat mehr
Habe eine Contao Version 4.9.24 bei IONOS.
Der Inhalt meiner Domain muss in einem iFrame einer fremden Domain angezeigt werden.
Im Moment wird das wegen der X-Frame-Option durch Contao geblockt.

Habe inzwischen zig Anleitungen befolgt.

Z.B. https://pdir.de/news/contao-4-x-fram...-probleme.html
https://community.contao.org/de/show...PTION-Probleme

Änderungen in der .htaccess bewirken NICHTS

Einen Ordner "app" mit "/config/config.yml" finde ich auf meinem Server nicht.

Das Bundle "nelmio_security" finde ich über den Contao Manager nicht.

Mit ist nicht klar WO ich die Standardeinstellung von Contao überschreiben kann.
Ich dreh mich im Kreis und würde mich über eine zielführende Hilfestellung freuen.

Gruß Thomas

[Spooky]

Einen Ordner "app" mit "/config/config.yml" finde ich auf meinem Server nicht.

Der Pfad lautet einfach nur contao/config.yaml und musst du selbst anlegen.

[Thomas Hinze]

Hi, danke für die schnelle Rückmeldung.

in meiner contao/config.yml steht nun folgendes

doctrine:
  dbal:
    connections:
      default:
        options:
          1002: "SET SESSION sql_mode=(SELECT CONCAT(@@sql_mode, ',TRADITIONAL'))"
nelmio_security:
    csp:
        enforce:
            frame-ancestors:
                - 'self'
                - quandoo-partner.com

Aber leider ändert sich auf der Zielseite nichts :-(

http://www.quandoo-partner.com/en?mid=sCRnN&cat=1
Refused to frame 'https://sorriso-berlin.de/' because an ancestor violates the following Content Security Policy directive: "frame-ancestors 'self' quandoo-partner.com".

[mlweb]

Nach der Änderung in der config.yml den Symfony-Cache geleert (z.B. im Contao Manager über Systemwartung->prod.-Cache erneuern)?

[Spooky]

https://developer.mozilla.org/en-US/...rame-ancestors

Ich denke es muss so aussehen:

nelmio_security:
    csp:
        enforce:
            frame-ancestors:
                - 'self'
                - http://www.quandoo-partner.com
                - https://www.quandoo-partner.com

Auf quandoo-partner.com sollte außerdem ein Redirect auf HTTPS eingerichtet werden (dann kann man sich http://www.quandoo-partner.com in der config sparen).

[Thomas Hinze]

Hey, danke für eure Unterstützung.

Habe
- http://www.quandoo-partner.com
- https://www.quandoo-partner.com

übernommen

Trotz Contao Prod-Cache erneuern keine Änderung auf der Zielseite.

Auf deren Seite taucht ein weiterer Fehler auf

1 directive
Resource Status Directive Source Location
https://sorriso-berlin.de/ blocked frame-ancestors

Habe Quandoo kontaktiert.

[Thomas Hinze]

ich habe noch mal meine .htaccess im Contao Startverzeichnis (web/) angepasst.

   <IfModule mod_headers.c>
Header always append Content-Security-Policy "frame-ancestors 'self' http://www.quandoo-partner.com https://www.quandoo-partner.com"
  </IfModule>

jetzt geht es