Um ataque perigoso para aplicações web é o clickjacking, uma técnica maliciosa que induz o usuário a clicar em algo diferente do que ele enxerga, potencialmente podendo causar ações indesejadas ou revelar informações confidenciais. Uma forma de a aplicação web tentar evitar que esse ataque ocorra é pelo uso do(a):
- A)extensão Expect-CT;
Errada, porque Expect-CT se relaciona à validação e fiscalização de certificados TLS, não à prevenção de cliques enganosos em frames.
- B)cabeçalho X-Frame-Options;
Certa, porque o X-Frame-Options controla o carregamento da página em frame ou iframe e ajuda a bloquear clickjacking.
- C)protocolo Strict-Transport-Security;
Errada, porque Strict-Transport-Security força o uso de HTTPS e protege o transporte, mas não impede o ataque por sobreposição visual.
- D)atributo Secure em cookies;
Errada, porque o atributo Secure em cookies apenas faz o navegador enviar o cookie em conexões HTTPS, sem relação direta com clickjacking.
- E)cabeçalho X-Xss-Protection.
Errada, porque X-Xss-Protection era ligado a filtros antigos contra XSS e não é a medida clássica para impedir cliques simulados.
Gabarito: B
Clickjacking é aquele golpe maldoso em que o usuário acha que está clicando em uma coisa, mas na verdade está acionando outra, geralmente escondida em uma página ou em um frame. É como trocar a plaquinha da porta na hora exata: a pessoa age de boa-fé, mas acaba fazendo algo que não queria. Em aplicações web, a defesa clássica é impedir que a página seja carregada dentro de frames ou iframes de sites terceiros. É exatamente aí que entra o cabeçalho X-Frame-Options. Ele permite dizer ao navegador se a página pode ou não ser exibida em um frame, reduzindo muito o risco de sobreposição enganosa usada no clickjacking. Os valores mais conhecidos são DENY, SAMEORIGIN e, em alguns cenários, ALLOW-FROM. Na prática, ele é um mecanismo simples e bem cobrado em provas. Por isso o gabarito é a letra B. As demais opções tratam de outros problemas: segurança na conexão, cookies ou proteção contra XSS, mas não são a defesa típica contra clickjacking. Em termos doutrinários, o ponto central é esse: evitar que a interface da vítima seja encaixada em outra página de forma invisível ou manipulada.