1С-Битрикс Разработчикам - Ошибка because it set 'X-Frame-Options' to 'SAMEORIGIN'

Посетитель

Сообщений: 111 Баллов: 9 Регистрация: 04.01.2012

24.07.2015 10:53:31

Не отображаются страницы в вебвизоре. Причину нашёл в консоли Хрома:
Refused to display 'http://www.../' in a frame because it set 'X-Frame-Options' to 'SAMEORIGIN'.
В настройках сайта запрет на отображение во фрейме отключен. В коде страницы нет X-Frame-Options. Грешу на сервер. Установлена BitrixVM-5, CentOS-6.
Проверял файл \etc\httpd\conf\httpd.conf. Там ничего не нашёл на эту тему.
Подскажите, где может быть прописана на сервере эта настройка?

Александр Суворов

Администратор

Сообщений: 1241 Баллов: 107 Регистрация: 27.11.2007

24.07.2015 12:53:47

Цитата

Анатолий Левшенков написал:
Не отображаются страницы в вебвизоре. Причину нашёл в консоли Хрома:
Refused to display ' http://www.../ ' in a frame because it set 'X-Frame-Options' to 'SAMEORIGIN'.
В настройках сайта запрет на отображение во фрейме отключен. В коде страницы нет X-Frame-Options. Грешу на сервер. Установлена BitrixVM-5, CentOS-6.
Проверял файл \etc\httpd\conf\httpd.conf. Там ничего не нашёл на эту тему.
Подскажите, где может быть прописана на сервере эта настройка?

в /etc/nginx/nginx.conf

не забудьте сделать рестарт nginx после изменения

Пользователь 107930

Посетитель

Сообщений: 111 Баллов: 9 Регистрация: 04.01.2012

05.03.2017 18:27:58

И снова на те же грабли... Переустановил сервер. Теперь уже BitrixVM-7 на CentOS-6.
В 7 версии виртуальной машины в /etc/nginx/nginx.conf такой настройки нет. Она есть в файле \etc\nginx\bx\conf\general-add_header.conf, комментарий X-Frame

Код
add_header "X-Content-Type-Options" "nosniff"; #add_header X-Frame-Options SAMEORIGIN;

помогает избавиться от запрета отображения во фрейме. Кстати, перезагрузить nginx не получится, нужно перезагружать весь сервер для применения изменений.
Но это разрешает фреймы на всех сайтах сервера.

Яндекс предлагает разместить такой код:

Код

location / {
        set $frame_options '';
        if ($http_referer !~ '^https?:\/\/([^\/]+\.)?(yourdomain\.com|webvisor\.com)\/'){
            set $frame_options 'SAMEORIGIN';
        }
        add_header X-Frame-Options $frame_options;
        ...
    }

Но как его добавить?

Пользователь 57680 Заглянувший Сообщений: 14 Регистрация: 15.02.2010	#4 07.03.2017 10:05:31 Отличное решение, добавляется в conf-файл в /etc/nginx/bx внутри блока server - который отвечает за ваш сайт

Пользователь 43424

Посетитель

Сообщений: 64 Баллов: 5 Регистрация: 01.06.2009

26.03.2018 10:46:27

Цитата
Алексей Мокрушин написал: Отличное решение, добавляется в conf-файл в /etc/nginx/bx внутри блока server - который отвечает за ваш сайт

Пробовал добавить в пару мест 1) в pool_manager.conf в папке /etc/nginx/bx/site_available 2) /etc/nginx/bx/conf/bitrix.conf
Не работает (

Пользователь 107930 Посетитель Сообщений: 111 Баллов: 9 Регистрация: 04.01.2012	#6 26.03.2018 11:33:29 Есть ещё файлы, влияющие на настройки конкретного сайта, типа /etc/nginx/bx/site_avaliable/bx_ext_site.ru.conf, где site.ru - Ваш сайт. Обратите внимание, что bx_ext_site.ru.conf и bx_ext_ssl_site.ru.conf - версии настроек для http и https

Пользователь 107930

Посетитель

Сообщений: 111 Баллов: 9 Регистрация: 04.01.2012

26.03.2018 11:38:19

Цитата

Анатолий Левшенков написал:
В 7 версии виртуальной машины в /etc/nginx/nginx.conf такой настройки нет. Она есть в файле \etc\nginx\bx\conf\general-add_header.conf, комментарий X-Frame

Код
add_header "X-Content-Type-Options" "nosniff"; #add_header X-Frame-Options SAMEORIGIN;

А этот вариант не помогает, или не подходит?

Пользователь 43424

Посетитель

Сообщений: 64 Баллов: 5 Регистрация: 01.06.2009

26.03.2018 12:05:00

Цитата

Анатолий Левшенков написал:

Цитата
А этот вариант не помогает, или не подходит?

Это работает, спасибо. Но хотелось бы все-таки применить код от Яндекса

Пользователь 531743 Заглянувший Сообщений: 4 Регистрация: 18.01.2017	#9 08.06.2018 16:34:06 как понимаю, такое решение не совсем правильное с точки зрения безопасности, т.к. надо отключать защиту от фреймов без исключений. вопрос остается - куда добавлять код Яндекса?

Пользователь 107930 Посетитель Сообщений: 111 Баллов: 9 Регистрация: 04.01.2012	#10 04.08.2018 16:07:17 На сегодняшний день в админке сайта на странице bitrix/admin/security_frame.php нужно отключать/включать защиту от фреймов. Таким образом, если разрешить фреймы в файле \etc\nginx\bx\conf\general-add_header.conf, то на каждом сайте будет работать дополнительная настройка.

Ошибка because it set 'X-Frame-Options' to 'SAMEORIGIN'

Продукты

Управление сайтом

Битрикс24

Интернет-магазин + CRM

Решения

Для интернет-магазинов

Каталог готовых решений

Внедрение

Выбрать партнера

Проверить партнера

Стать партнером