就绪检查 · 加固通道 · 权重 4

已限制框架嵌入

首页发送 X-Frame-Options 响应头，或包含 frame-ancestors 指令的 Content-Security-Policy 响应头。

已观察到: 49%
前 1K 网站: 61%
前 1M 区间: 46%
未测量: 41,432

为何重要

没有这项保护，其他网站就能在隐藏框架中加载您的页面，诱骗访客点击按钮（点击劫持）。

如何修复

发送 Content-Security-Policy: frame-ancestors 'self'（或指定可信来源列表）。X-Frame-Options: SAMEORIGIN 可兼顾旧版浏览器。

我们如何检查

首页发送 X-Frame-Options 响应头，或包含 frame-ancestors 指令的 Content-Security-Policy 响应头。

已观察到：存在框架嵌入控制。

未观察到：未发现框架嵌入控制。

局限：仅读取首页响应；其他页面或地区可能发送不同的响应头。

针对不同技术栈的步骤

Cloudflare：使用响应头转换规则添加该响应头。
Amazon CloudFront：在响应头策略中设置框架选项。
Next.js：在 next.config.js 的 headers() 中添加它。

按受欢迎程度分档

Chrome UX Report 区间	已观察到	已测量
前 1 千名	61%	286
前 5 千名	52%	1,309
前 1 万名	52%	1,653
前 5 万名	52%	12,752
前 10 万名	53%	12,036
前 50 万名	51%	37,446
前 100 万名	46%	79,142

最可能这样做的类别

最不可能这样做的类别

按技术栈

按提供商

我们观察到此情况的热门网站

来源与指南

指南：面向网站所有者的实用网站健康检查检查您自己的网站