Comparador X-Frame-Options vs frame-ancestors

Clickjacking funciona colocando a sua página dentro de um iframe invisível sobre outro conteúdo, de modo que o clique da pessoa caia no seu botão sem que ela perceba. As duas defesas contra isso são o cabeçalho X-Frame-Options, mais antigo, e a diretiva frame-ancestors da Content-Security-Policy, moderna. Quase todo site acaba com os dois configurados, e nem sempre com o mesmo valor.

Informe o que cada um está enviando e a página traduz o significado de cada valor e diz qual prevalece. A regra é simples: quando frame-ancestors está presente, o navegador moderno ignora o X-Frame-Options por completo. O XFO só continua valendo onde a CSP não é interpretada, o que hoje significa navegadores bem antigos. Configurar valores contraditórios não gera erro — gera comportamento diferente por navegador.

Vale conhecer as equivalências: DENY corresponde a frame-ancestors com nenhum, e SAMEORIGIN corresponde a frame-ancestors próprio. O que não tem equivalente é o ALLOW-FROM, que nunca funcionou direito e é ignorado por Chrome e Firefox — quem precisa liberar um parceiro específico só consegue isso com frame-ancestors, que aceita lista de origens.