Proteja sua experiência de assinatura incorporada contra ameaças de clickjacking usando controles de enquadramento baseados em API.
Clickjacking é um tipo de ataque no qual um site malicioso engana um usuário para clicar em algo diferente do que ele percebe, potencialmente sequestrando ações como aprovação de acordo ou assinatura.
Esse recurso de defesa contra clickjacking impede essa atividade prejudicial controlando quando e como as páginas do Acrobat Sign podem ser incorporadas em um iframe, garantindo que apenas domínios confiáveis possam fazê-lo e apenas sob condições controladas.
A ativação da defesa contra clickjacking protege os usuários, permitindo que os fluxos de trabalho aprovados funcionem sem problemas.
Configuração
Disponibilidade:
- Acrobat Standard e Acrobat Pro: não configurável
- Acrobat Sign Solutions: compatível; desabilitado por padrão
- Acrobat Sign for Government: compatível; habilitado por padrão
Escopo da configuração:
Os administradores podem habilitar este recurso nos níveis de conta e de grupo.
Acesse esse recurso navegando no menu de configuração do administrador até Configurações de segurança > Impedir que o Adobe Acrobat Sign seja incorporado em sites de terceiros
Como usar
Quando a defesa contra clickjacking está ativada, o Acrobat Sign só permite a incorporação de iframe quando:
- A integração usa a API REST v5 ou posterior
- O sinalizador autoLoginUser está definido como verdadeiro na solicitação de API
- Um domínio frameParent é fornecido na solicitação por meio do objeto commonViewConfiguration
{
"commonViewConfiguration": {
"autoLoginUser": true,
"frameParent": "yourdomain.com"
}
}
Práticas recomendadas
Se você estiver enquadrando o Acrobat Sign em qualquer aplicativo externo, isso ajuda a manter a segurança enquanto preserva seu fluxo de trabalho de integração. Por exemplo:
- Incorporação de visualizações de assinatura ou gerenciamento em um aplicativo web personalizado.
- Uso do fluxo de login automático para uma experiência de assinante tranquila em seu domínio.
- Garantia de que os usuários só possam interagir com documentos do seu contexto de iframe autorizado.
Os clientes só devem desativar esse recurso se tiverem uma integração que não define o parâmetro frameParent na chamada de API.
Informações importantes
- A defesa contra clickjacking se aplica a todas as visualizações da página da web, mas as integrações SOAP e REST legadas não permitem que o Acrobat Sign seja incorporado.
- A compatibilidade do navegador varia: alguns navegadores mais antigos (como o Internet Explorer) não são compatíveis com a diretiva CSP frame ancestors. As opções X-Frame também são aplicadas.
