Una de las maneras más efectivas de prevenir el clickjacking es controlar dónde y cómo se puede cargar tu sitio web en iframes. Esto se logra configurando encabezados HTTP como X-Frame-Options o, más modernamente, mediante Content-Security-Policy (CSP).

La Solución Más Moderna: Content-Security-Policy

El encabezado Content-Security-Policy permite definir políticas de seguridad específicas para tu sitio web. Con la directiva frame-ancestors, puedes controlar qué orígenes (si los hay) están permitidos para cargar tu contenido en un iframe.

Un ejemplo de configuración moderna para proteger tu sitio es:

<IfModule mod_headers.c>
    Header always set Content-Security-Policy "frame-ancestors 'self';"
</IfModule>

¿Qué hace esta configuración?

• frame-ancestors 'self';: Esta directiva indica que tu sitio solo puede ser cargado en un iframe si el origen es el mismo dominio (self). Esto protege contra intentos de otros dominios de incrustar tu sitio.
• Header always set: Asegura que el encabezado se incluya en todas las respuestas HTTP, aplicando la protección globalmente.

Beneficios de Usar Content-Security-Policy

Mayor Control: Puedes definir políticas específicas para dominios autorizados.

1. Compatibilidad: CSP es ampliamente compatible con navegadores modernos.
2. Flexibilidad: A diferencia de X-Frame-Options, CSP permite especificar múltiples orígenes y ofrece una sintaxis más rica.
3. Seguridad Mejorada: Protege no solo contra clickjacking, sino también contra otras amenazas como inyecciones de scripts.

¿Cómo Implementarlo?

1. Accede al servidor web: Si usas Apache, edita el archivo de configuración principal o los archivos .htaccess.
2. Habilita el módulo de encabezados: Asegúrate de que mod_headers esté habilitado:a2enmod headers systemctl restart apache2
3. Configura el encabezado: Agrega el código mencionado anteriormente en la configuración de tu dominio.
4. Verifica: Usa herramientas como Security Headers o las herramientas de desarrollo del navegador para confirmar que el encabezado se aplica correctamente.

Conclusión

El clickjacking es una amenaza seria, pero con medidas simples y efectivas como la configuración de Content-Security-Policy, puedes proteger tu sitio web y a tus usuarios. Implementar frame-ancestors 'self'; no solo mejora la seguridad, sino que también te da un control completo sobre cómo se muestra tu contenido.

Recuerda, la seguridad no es algo que configures una vez y olvides. Realiza auditorías regulares y mantente informado sobre las últimas prácticas para garantizar que tu sitio esté siempre protegido.