Enmarcado y clics engañosos como hallazgo

Dos cabeceras deciden si una página se puede enmarcar. La antigua, X-Frame-Options, admite DENY (nunca) y SAMEORIGIN (solo desde el mismo origen). La actual es la directiva frame-ancestors de la CSP, que acepta una lista de orígenes; cuando una política que se aplica la trae, el navegador ignora X-Frame-Options. Esa directiva no hereda de default-src y no funciona si la CSP va en una etiqueta del HTML en lugar de en la cabecera.

Que una página se deje enmarcar no basta para que haya un hallazgo con impacto. Hacen falta tres condiciones: que en la página haya una acción que cambie algo importante, que se complete con uno o pocos clics sin una confirmación que el sitio ajeno no pueda adivinar (contraseña, código enviado al titular), y que dentro del marco la página se muestre con la sesión de la persona. Esta última depende de la cookie: con SameSite=Lax o Strict, el navegador no la envía cuando la página va dentro del marco de otro sitio, y la página aparecería sin sesión.

Abre el laboratorio y lee enmarcado.txt. Una página está protegida frente a cualquier sitio ajeno si trae X-Frame-Options con DENY o SAMEORIGIN, o si trae frame-ancestors con una lista que no incluya orígenes de terceros cualesquiera. Una lista que nombra solo orígenes concretos de la propia empresa restringe el enmarcado a esos orígenes.

Ahora cruza esa lista con acciones.txt y con cookies.txt, y comprueba el resultado con prueba-marco.txt. La carta permitió una sola cosa: cargar la página dentro de un marco, desde el equipo del evaluador, sin poner nada encima y sin pulsar nada. Eso demuestra las condiciones del hallazgo sin construir el engaño.

La página de transferir boletas también se deja enmarcar y su acción es seria: mover una boleta pagada a otro correo. Antes de subirle la severidad, lee qué pasa después del clic.

La corrección tiene dos partes: impedir el enmarcado y no depender solo de eso para una acción tan sensible. Mira qué usa ya la página de pago y qué le falta a la de seguridad.