Protege tu experiencia de firma integrada contra amenazas de clickjacking mediante controles de enmarcado basados en API.
El clickjacking es un tipo de ataque en el que un sitio malicioso engaña a un usuario para que haga clic en algo que es diferente a lo que percibe, potencialmente secuestrando las acciones como la aprobación de acuerdos o firmas.
Esta función de defensa contra clickjacking evita esta actividad dañina controlando cuándo y cómo se pueden incrustar las páginas de Acrobat Sign en un iframe, asegurando que solo los dominios de confianza puedan hacerlo y solo bajo condiciones controladas.
La activación de la defensa contra clickjacking protege a los usuarios mientras permite que los flujos de trabajo aprobados funcionen sin problemas.
Configuración
Disponibilidad:
- Acrobat Standard y Acrobat Pro: no configurables
- Acrobat Sign Solutions: compatible; desactivado de forma predeterminada
- Acrobat Sign para la administración pública: compatible; habilitado de forma predeterminada
Ámbito de configuración:
Los administradores pueden habilitar esta función en los niveles de cuenta y grupo.
Acceda a esta función navegando en el menú de configuración del administrador hasta Configuración de seguridad > Evitar que Adobe Acrobat Sign se incruste en sitios web de terceros
Utilización
Cuando la defensa contra clickjacking está habilitada, Acrobat Sign solo permite la incrustación en iframe cuando:
- La integración utiliza la API REST v5 o posterior
- El indicador autoLoginUser está establecido en verdadero en la solicitud de API
- Se proporciona un dominio frameParent en la solicitud a través del objeto commonViewConfiguration
{
"commonViewConfiguration": {
"autoLoginUser": true,
"frameParent": "yourdomain.com"
}
}
Prácticas recomendadas
Si está enmarcando Acrobat Sign en cualquier aplicación externa, esto ayuda a mantener la seguridad mientras preserva su flujo de trabajo de integración. Por ejemplo:
- Incrustación de vistas de firma o gestión en una aplicación web personalizada.
- Uso del flujo de inicio de sesión automático para una experiencia fluida del firmante dentro de su dominio.
- Garantizar que los usuarios solo puedan interactuar con documentos desde su contexto de iframe autorizado.
Los clientes solo deben deshabilitar esta función si tienen una integración que no define el parámetro frameParent en la llamada API.
Cosas que debe saber
- La defensa contra clickjacking se aplica a todas las vistas de la página web, pero las integraciones SOAP y REST heredadas no permiten que Acrobat Sign se incruste.
- La compatibilidad con los exploradores varía: algunos exploradores más antiguos (como Internet Explorer) no admiten antecesores de marcos CSP. También se aplica X-Frame Options.
