Используют ли сайты 3D-безопасности и банковских операций в сети заголовок x-frame-options?
Я пытаюсь встроить безопасные и чистые банковские страницы 3D в IFrame, и я могу добиться этого успешно на нескольких сайтах, которые я протестировал. Но я подозреваю, что ВСЕ страницы банка будут открываться в IFrame.
Что если любой банк установил для x-frame-otpions значение SAMEORIGIN или DENY?
Пробовал искать технические характеристики по этому поводу, но ничего не смог найти.
Существует ли общее правило большого пальца или соглашение (в любой спецификации), что проверяющий банк не должен / не должен использовать этот заголовок? Как я верю, если это будет работать для всех банков?
Любые разъяснения будут очень полезны.
PS: я знаю, что есть и другие способы открытия шлюзов авторизации. Но все же мне нужна ясность в этом подходе.
0 ответов
Обычно вы не просто открываете iframe с банковским доменом. Вместо этого вы открываете iframe из домена внешнего поставщика платежей (adyen, braintree и т. Д.), А они, в свою очередь, открывают другой iframe внутри, так что им нужно только разрешить поставщикам платежей iframe связываться с ним.
Что интересно, эти фреймы обычно имеют политики одинакового происхождения.