Защитите встроенный процесс подписания от угроз кликджекинга с помощью элементов управления фреймами на основе API.
Кликджекинг — это тип атаки, при которой вредоносный сайт обманывает пользователя, заставляя его нажать на что-то отличное от того, что он видит, потенциально перехватывая такие действия, как одобрение соглашения или подписание.
Эта функция защиты от кликджекинга предотвращает вредоносную активность, контролируя, когда и как страницы Acrobat Sign могут быть встроены в iframe, гарантируя, что только доверенные домены могут это делать, и только при контролируемых условиях.
Активация защиты от кликджекинга защищает пользователей, позволяя при этом одобренным технологическим процессам функционировать без сбоев.
Конфигурация
Доступность
- Acrobat Standard и Acrobat Pro: не подлежит настройке
- Acrobat Sign Solutions: поддерживается; отключено по умолчанию
- Acrobat Sign for Government: поддерживается; включено по умолчанию
Диапазон настроек
Администраторы могут включить эту функцию на уровнях учетной записи и группы.
Доступ к этой функции осуществляется через меню конфигурации администратора: Параметры безопасности > Предотвратить встраивание Adobe Acrobat Sign в сторонние веб-сайты
Способ применения
Когда защита от кликджекинга включена, Acrobat Sign разрешает встраивание в iframe только в следующих случаях:
- Интеграция использует REST API v5 или более поздней версии
- Флаг autoLoginUser установлен в значение true в API-запросе
- Домен frameParent указан в запросе через объект commonViewConfiguration
{
"commonViewConfiguration": {
"autoLoginUser": true,
"frameParent": "yourdomain.com"
}
}
Рекомендации
Если вы встраиваете Acrobat Sign в любое внешнее приложение, это помогает поддерживать безопасность, сохраняя при этом ваш интеграционный технологический процесс. Например:
- Встраивание представлений для подписания или управления в пользовательское веб-приложение.
- Использование процесса автоматического входа для удобной работы подписанта в вашем домене.
- Обеспечение взаимодействия пользователей с документами только из вашего авторизованного контекста iframe.
Клиентам следует отключать эту функцию только в том случае, если у них есть интеграция, которая не определяет параметр frameParent в API-вызове.
Важная информация
- Защита от кликджекинга применяется ко всем представлениям веб-страницы, но интеграции SOAP и устаревшие REST-интеграции не позволяют встраивать Acrobat Sign.
- Поддержка браузеров различается: некоторые старые браузеры (например, Internet Explorer) не поддерживают фреймы-предшественники CSP. Также применяется X-Frame Options.
