# Ce este clickjacking?

> Clickjacking-ul, numit și redressare a interfeței utilizatorului, este un atac în care o interfață malițioasă ascunde, suprapune sau repoziționează conținut dintr-o altă aplicație, astfel încât clicul sau atingerea unui utilizator activează un control diferit de cel pe care utilizatorul îl percepe.

- URL canonic: https://yellowcube.eu/ro/glossary/clickjacking/
- Editor: Yellow Cube
- Limbă: ro
- Contact: hello@yellowcube.eu

## Conținut

Ținta ascunsă poate folosi sesiunea și permisiunile existente ale utilizatorului. Clickjacking-ul exploatează relația dintre prezentarea vizuală, framing și intenția utilizatorului; nu cere execuție de script în aplicația țintă.

Multe cazuri web se bazează pe încorporarea unei pagini sensibile într-un frame transparent sau deghizat. Aplicațiile trebuie să declare ce origin-uri, dacă există, pot încadra fiecare răspuns și să proiecteze acțiuni cu consecințe mari astfel încât o singură interacțiune deviată să fie insuficientă.

### Puncte esențiale

- **Politica de framing:** Livrați un antet de răspuns Content Security Policy (CSP) cu directiva `frame-ancestors` pentru a refuza framing-ul sau a permite doar origin-urile necesare și aplicați un antet de răspuns `X-Frame-Options` acolo unde este nevoie de compatibilitate legacy.
- **Interacțiuni sensibile:** Cereți context clar, autorizare curentă, confirmare deliberată sau reautentificare pentru modificări cu impact mare și evitați controale al căror sens este ascuns sau se schimbă neașteptat.
- **Verificări de implementare:** Aplicați politica fiecărui răspuns sensibil, testați încorporarea intenționată și neintenționată pe browserele suportate, țineți cont de frame-uri imbricate și parteneri de încredere și monitorizați regresiile de configurație.
- **Limitare importantă:** Controalele de framing adresează atacurile bazate pe frame-uri, nu fiecare formă de interfață înșelătoare. Liste de permisiuni largi, origin-uri permise compromise, diferențe de browsere sau acțiuni care nu cer autentificare pot lăsa căi exploitabile.

### Termeni asociați

[Falsificare de cereri cross-site (CSRF)](<https://yellowcube.eu/ro/glossary/cross-site-request-forgery/>) · [Cross-site scripting (XSS)](<https://yellowcube.eu/ro/glossary/cross-site-scripting/>) · [Securitatea browserului](<https://yellowcube.eu/ro/glossary/browser-security/>) · [Securitatea aplicațiilor web](<https://yellowcube.eu/ro/glossary/web-application-security/>) · [Autentificare](<https://yellowcube.eu/ro/glossary/authentication/>)

### Surse

[OWASP Clickjacking Defense Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/Clickjacking_Defense_Cheat_Sheet.html) · [MITRE CWE-1021: Improper Restriction of Rendered UI Layers or Frames](https://cwe.mitre.org/data/definitions/1021.html) · [RFC 7034 (Informational): X-Frame-Options](https://www.rfc-editor.org/info/rfc7034/)

## Să construim o apărare cibernetică mai eficientă împreună

Construim parteneriate de durată, bazate pe încredere, expertiză și succes comun. Fie că doriți să vă dezvoltați afacerea, să vă extindeți oferta de securitate cibernetică sau să lansați soluții inovatoare pe piețe noi, Yellow Cube vă sprijină pe termen lung.

[Luați legătura cu Yellow Cube](<mailto:hello@yellowcube.eu?subject=Partnership>)

## Sursa și domeniul de aplicare

Această versiune Markdown este generată din aceleași înregistrări aprobate ca pagina HTML canonică. Pentru citare, utilizați URL-ul canonic.