# Co je clickjacking?

> Clickjacking (user-interface redressing), je útok, při kterém škodlivé rozhraní skrývá, překrývá či přemísťuje obsah jiné aplikace, takže kliknutí či klepnutí uživatele aktivuje jiný ovládací prvek, než který uživatel vnímá.

- Kanonická URL: https://yellowcube.eu/cs/glossary/clickjacking/
- Vydavatel: Yellow Cube
- Jazyk: cs
- Kontakt: hello@yellowcube.eu

## Obsah

Skrytý cíl může použít existující relaci a oprávnění uživatele. Clickjacking zneužívá vztah mezi vizuální prezentací, framingem a záměrem uživatele; nevyžaduje provádění skriptů v cílové aplikaci.

Mnoho webových případů spoléhá na vložení citlivé stránky do průhledného či maskovaného rámce. Aplikace by měly deklarovat, které originy — pokud vůbec — smí každou odpověď rámcovat, a navrhovat akce s vysokými důsledky tak, aby jediná špatně nasměrovaná interakce nestačila.

### Klíčové body

- **Politika framingu:** Dodávejte hlavičku odpovědi Content Security Policy (CSP) s direktivou `frame-ancestors` k odepření framingu či povolení pouze požadovaných originů a uplatněte hlavičku `X-Frame-Options` tam, kde je potřeba kompatibilita se staršími systémy.
- **Citlivé interakce:** Vyžadujte jasný kontext, aktuální autorizaci, záměrné potvrzení či reautentizaci pro změny s vysokým dopadem a vyhýbejte se ovládacím prvkům, jejichž význam je skrytý či se neočekávaně mění.
- **Kontroly nasazení:** Uplatňujte politiku na každou citlivou odpověď, testujte zamýšlené i nezamýšlené vkládání napříč podporovanými prohlížeči, zohledněte vnořené rámce a důvěryhodné partnery a monitorujte regrese konfigurace.
- **Důležité omezení:** Kontroly framingu řeší útoky založené na rámcích, nikoli každou formu klamavého rozhraní. Široké allowlisty, kompromitované povolené originy, rozdíly prohlížečů či akce nevyžadující autentizaci mohou zanechat zneužitelné cesty.

### Související termíny

[Cross-site request forgery (CSRF)](<https://yellowcube.eu/cs/glossary/cross-site-request-forgery/>) · [Cross-site scripting (XSS)](<https://yellowcube.eu/cs/glossary/cross-site-scripting/>) · [Zabezpečení prohlížeče](<https://yellowcube.eu/cs/glossary/browser-security/>) · [Zabezpečení webových aplikací](<https://yellowcube.eu/cs/glossary/web-application-security/>) · [Autentizace](<https://yellowcube.eu/cs/glossary/authentication/>)

### Zdroje

[OWASP Clickjacking Defense Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/Clickjacking_Defense_Cheat_Sheet.html) · [MITRE CWE-1021: Improper Restriction of Rendered UI Layers or Frames](https://cwe.mitre.org/data/definitions/1021.html) · [RFC 7034 (Informational): X-Frame-Options](https://www.rfc-editor.org/info/rfc7034/)

## Pojďme budovat chytřejší kybernetickou obranu Společně

Dlouhodobá partnerství stavíme na důvěře, odbornosti a společném úspěchu. Ať chcete rozvíjet své podnikání, rozšířit nabídku kybernetické bezpečnosti nebo uvést inovativní řešení na nové trhy, v Yellow Cube najdete spolehlivého partnera.

[Spojte se s Yellow Cube](<mailto:hello@yellowcube.eu?subject=Partnership>)

## Uvedení zdroje a rozsah

Tato verze Markdown vzniká ze stejných schválených záznamů jako kanonická stránka HTML. Při citování použijte kanonickou adresu.