# Czym jest clickjacking?

> Clickjacking, zwany też przesłanianiem interfejsu użytkownika (UI redressing), to atak, w którym złośliwy interfejs ukrywa, nakłada lub przesuwa treść z innej aplikacji tak, że kliknięcie lub dotknięcie użytkownika aktywuje kontrolę inną niż ta, którą użytkownik postrzega.

- Kanoniczny adres URL: https://yellowcube.eu/pl/glossary/clickjacking/
- Wydawca: Yellow Cube
- Język: pl
- Kontakt: hello@yellowcube.eu

## Treść

Ukryty cel może używać istniejącej sesji i uprawnień użytkownika. Clickjacking wykorzystuje relację między prezentacją wizualną, osadzaniem w ramkach a intencją użytkownika; nie wymaga wykonania skryptu w docelowej aplikacji.

Wiele przypadków webowych opiera się na osadzeniu wrażliwej strony w przezroczystej lub przebranej ramce. Aplikacje powinny deklarować, które źródła — jeśli w ogóle — mogą osadzać każdą odpowiedź i projektować akcje o wysokich konsekwencjach tak, by pojedyncza błędnie skierowana interakcja nie wystarczyła.

### Najważniejsze punkty

- **Polityka osadzania:** Dostarczaj nagłówek odpowiedzi Content Security Policy (CSP) z dyrektywą `frame-ancestors` odrzucającą osadzanie lub pozwalającą tylko wymaganym źródłom oraz stosuj nagłówek `X-Frame-Options` tam, gdzie potrzebna kompatybilność z starszymi wersjami.
- **Wrażliwe interakcje:** Wymagaj jasnego kontekstu, bieżącej autoryzacji, celowego potwierdzenia lub ponownego uwierzytelnienia dla zmian o dużym wpływie oraz unikaj kontrolek, których znaczenie jest ukryte lub zmienia się niespodziewanie.
- **Testy wdrożeniowe:** Stosuj politykę do każdej wrażliwej odpowiedzi, testuj zamierzone i niezamierzone osadzanie we wspieranych przeglądarkach, uwzględniaj zagnieżdżone ramki i zaufanych partnerów oraz monitoruj regresje konfiguracji.
- **Istotne ograniczenie:** Kontrole osadzania adresują ataki oparte na ramkach, a nie każdą formę zwodniczego interfejsu. Szerokie listy dozwolonych, skompromitowane dozwolone źródła, różnice przeglądarek lub akcje niewymagające uwierzytelnienia mogą pozostawić eksploitowalne ścieżki.

### Powiązane terminy

[Cross-site request forgery (CSRF)](<https://yellowcube.eu/pl/glossary/cross-site-request-forgery/>) · [Cross-site scripting (XSS)](<https://yellowcube.eu/pl/glossary/cross-site-scripting/>) · [Bezpieczeństwo przeglądarki](<https://yellowcube.eu/pl/glossary/browser-security/>) · [Bezpieczeństwo aplikacji webowych](<https://yellowcube.eu/pl/glossary/web-application-security/>) · [Uwierzytelnianie](<https://yellowcube.eu/pl/glossary/authentication/>)

### Źródła

[OWASP Clickjacking Defense Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/Clickjacking_Defense_Cheat_Sheet.html) · [MITRE CWE-1021: Improper Restriction of Rendered UI Layers or Frames](https://cwe.mitre.org/data/definitions/1021.html) · [RFC 7034 (Informational): X-Frame-Options](https://www.rfc-editor.org/info/rfc7034/)

## Budujmy skuteczniejszą cyberobronę razem

Budujemy trwałe partnerstwa oparte na zaufaniu, wiedzy i wspólnych sukcesach. Chcesz rozwijać firmę, poszerzyć ofertę cyberbezpieczeństwa lub wprowadzić innowacyjne rozwiązania na nowe rynki? Yellow Cube wspiera Cię na każdym z tych etapów.

[Skontaktuj się z Yellow Cube](<mailto:hello@yellowcube.eu?subject=Partnership>)

## Źródło i zakres informacji

Ta wersja Markdown jest generowana z tych samych zatwierdzonych treści co kanoniczna strona HTML. Przy cytowaniu użyj kanonicznego adresu URL.