Кликджекинг
Кликджекинг — обман пользователя через подмену или перекрытие интерфейса, при котором нажатие выполняет не то действие, которое человек ожидает.
Для чего используется
Кликджекинг рассматривают при аудите защиты сайта и сторонних встраиваний. Атака подменяет ожидаемое действие пользователя, например через скрытый слой поверх интерфейса. Для SEO важны последствия: нежелательные действия, потеря доверия и возможные предупреждения о безопасности. Проверкой занимается техническая команда совместно с владельцем продукта.
Как применяется
Проверьте возможность встраивания чувствительных страниц в чужие фреймы и используемые защитные заголовки. Ограничения должны учитывать легитимные интеграции.
- Определите страницы с чувствительными действиями и разрешённые способы их встраивания.
- Попросите разработчика проверить политику frame-ancestors и совместимые защитные заголовки в разрешённой тестовой среде.
- После исправления проверьте штатные формы и интеграции, чтобы защита не нарушила легитимную работу.
Практический пример
Страницу оформления заказа разрешено открывать внутри любого внешнего сайта. Команда ограничивает встраивание, затем проверяет оплату и партнёрскую интеграцию, которая использовала фрейм законно.
Учебный пример.Ошибки и риски
Встраивание страницы во фрейм само по себе не означает атаку. Нужно проверить назначение слоя и ограничения на встраивание.
Защита должна учитывать легитимные сценарии, например виджет партнёра. Ограничения frame-ancestors и другие меры проверяют на тестовой среде, затем контролируют формы и интеграции.
Как проверить результат
Результат — подтверждённое ограничение нежелательного встраивания при работающих разрешённых сценариях. Изменение позиций в поиске не является проверкой защиты.