Почему это риск
Clickjacking позволяет злоумышленнику заставить пользователя сделать клик, который выполнит нежелательное действие на вашем сайте: нажать кнопку, подтвердить транзакцию, изменить настройки. Особенно опасно для страниц с авторизацией и формами.
Как исправить
Шаг 1
Nginx: add_header X-Frame-Options "SAMEORIGIN" always;
Шаг 2
Apache: Header always set X-Frame-Options "SAMEORIGIN"
Шаг 3
Альтернатива через CSP: Content-Security-Policy: frame-ancestors 'self' (более современный способ)
Шаг 4
DENY — полный запрет встраивания
Шаг 5
SAMEORIGIN — только из того же домена
Шаг 6
Для nginx убедитесь, что директива в блоке server или location
Как AuditGuard обнаруживает проблему
AuditGuard проверяет наличие X-Frame-Options в ответных заголовках и наличие frame-ancestors в Content-Security-Policy.