Обновил недавно блог на новом движке, и через пару дней заметил, что пошли запросы, похожие на попытки clickjacking - пытаются мой сайт во фреймах с других доменов грузить. Раньше такого не было, теперь прям по логам видно. Сначала хотел через X-Frame-Options решить, но столкнулся с тем, что на новом движке эта защита или не включается, или сбрасывается каким-то модулем.

Покопался в nginx-конфиге, поставил `DENY` строго, но часть страниц всё равно во фреймах открывается (похоже, это те, что для админки нужны). Добавил тогда Content-Security-Policy с `frame-ancestors 'self'` - стало лучше, но не идеально. Возможно, движок сам где-то JS или теги вставляет, которые мешают, или часть страниц заголовки не получает.

Если у кого была похожая история с обновлёнными CMS - как настраивали защиту от clickjacking под разные нужды? Понимаю, что X-Frame-Options уже частично устарел и CSP лучше, но что делать с совместимостью и если движок своим кодом лезет? Без привязки к CMS, если был опыт - поделитесь, будет полезно.