WordPress „X-Frame-Options“ blockiert Embed – sichere Freigaben setzen

Stell dir vor, du willst ein cooles YouTube-Video, einen Google-Kalender oder ein externes Widget auf deiner WordPress-Website einbinden – und plötzlich macht dir eine unsichtbare Wand einen Strich durch die Rechnung: X-Frame-Options blockiert das Embed! Willkommen im Dschungel der Websicherheit, wo Browser, Server und Plugins sich gegenseitig austricksen, und du als Website-Betreiber:in manchmal nur noch mit den Augen rollst. Aber keine Sorge: In diesem Artikel tauchen wir tief ein in die Welt der X-Frame-Options, erklären, warum sie wichtig sind, wie du sie gezielt konfigurierst und wie du trotzdem sichere Freigaben für Embeds setzen kannst. Und ja, wir machen das Ganze verständlich, praxisnah und mit einer Prise Humor – versprochen!

Was sind X-Frame-Options überhaupt?

Die X-Frame-Options sind ein HTTP-Header, der vom Webserver oder von WordPress selbst gesetzt werden kann. Er steuert, ob und von welchen Domains deine Website in einem <iframe> eingebettet werden darf. Das klingt erstmal nach Nerd-Kram, ist aber ein echtes Sicherheitsfeature: Es schützt dich vor sogenannten Clickjacking-Angriffen. Dabei wird deine Seite in eine fremde Seite eingebettet, und der User klickt – ohne es zu merken – auf versteckte Buttons oder Links. Das kann von harmlos (nervige Werbung) bis richtig böse (unbefugte Aktionen im User-Account) reichen.

Der X-Frame-Options-Header kann drei Werte annehmen:

• DENY: Deine Seite darf niemals in einem <iframe> angezeigt werden – egal, von wo. Maximale Sicherheit, aber null Flexibilität.
• SAMEORIGIN: Nur Seiten von derselben Domain dürfen deine Seite einbetten. Das ist der WordPress-Standard und schützt vor den meisten Angriffen, lässt aber interne Embeds zu.
• ALLOW-FROM uri: Nur eine bestimmte Domain darf deine Seite einbetten. Klingt super, wird aber von modernen Browsern kaum noch unterstützt (siehe MDN).

Seit 2013 ist X-Frame-Options ein de-facto-Standard für Websicherheit (OWASP). Die meisten Hoster und WordPress-Installationen setzen SAMEORIGIN automatisch. Das ist gut – bis du externe Inhalte einbinden willst. Dann wird’s knifflig.

Warum blockiert WordPress Embeds?

WordPress ist von Haus aus ziemlich sicherheitsbewusst. Viele Themes, Plugins und vor allem Hoster setzen den X-Frame-Options-Header automatisch auf SAMEORIGIN oder sogar DENY. Das schützt dich, aber es blockiert auch legitime Embeds – zum Beispiel, wenn du deine Seite in eine App, ein Intranet oder auf eine Partnerseite einbinden willst.

Typische Szenarien, in denen das zum Problem wird:

• Du willst deine WordPress-Seite in eine andere Website einbetten (z.B. als Widget, Shop, Buchungstool).
• Du nutzt externe Dienste, die deine Seite als <iframe> laden (z.B. für Vorschauen, Integrationen, Social Media).
• Du entwickelst eine Web-App oder ein Portal, das verschiedene WordPress-Seiten zusammenführt.

Und dann? Dann siehst du im Browser nur eine Fehlermeldung wie „Refused to display in a frame because it set ‚X-Frame-Options‘ to ‚SAMEORIGIN‘“. Autsch!

Wie prüfst du, ob X-Frame-Options gesetzt ist?

• Browser-Entwicklertools: Öffne die Seite, drücke F12 und schau im „Netzwerk“-Tab nach den Response-Headern. Dort findest du X-Frame-Options und seinen Wert.
• Online-Tools: Nutze Dienste wie securityheaders.com oder SSL Labs, um die Header deiner Seite zu checken.
• cURL: Gib im Terminal curl -I https://deine-seite.de ein und lies die Header aus.

Wie kannst du X-Frame-Options gezielt anpassen?

Jetzt wird’s spannend! Es gibt verschiedene Wege, den Header zu setzen oder zu ändern – je nachdem, wie viel Kontrolle du hast:

Methode	Vorteile	Nachteile	Geeignet für
.htaccess (Apache)	Direkte Kontrolle, schnell, serverseitig	Fehler können die Seite lahmlegen, nur für Apache	Eigene Server, Agenturen, Profis
web.config (IIS)	Windows-Server, granular steuerbar	Komplex, selten bei WordPress	Enterprise, Intranet
nginx.conf (Nginx)	Performance, serverseitig	Erfordert SSH-Zugang, Syntaxfehler = Ausfall	High-Performance-Websites
WordPress-Plugin	Einfach, kein Code nötig	Abhängig vom Plugin, manchmal zu grob	Alle, die’s bequem mögen
PHP-Header in functions.php	Fein steuerbar, pro Seite/Post	Kann mit Server-Headern kollidieren	Entwickler:innen, Agenturen

Hier ein Beispiel für die .htaccess (Apache):


Header set X-Frame-Options "SAMEORIGIN"


Oder, um keinen X-Frame-Options-Header zu setzen (Achtung, Sicherheitsrisiko!):


Header unset X-Frame-Options


Für nginx sieht das so aus:


add_header X-Frame-Options "SAMEORIGIN";


Und in WordPress per functions.php (z.B. für gezielte Ausnahmen):


function remove_x_frame_options() {
header_remove('X-Frame-Options');
}
add_action('send_headers', 'remove_x_frame_options');


Das entfernt den Header komplett – aber Vorsicht: Damit öffnest du Tür und Tor für Embeds und für Angriffe. Besser: Setze gezielt Ausnahmen!

Wie setzt du sichere Freigaben für Embeds?

Hier kommt die Content-Security-Policy (CSP) ins Spiel. Sie ist der moderne Nachfolger von X-Frame-Options und viel flexibler. Mit CSP kannst du genau festlegen, welche Domains deine Seite einbetten dürfen – und welche nicht.

Beispiel für eine CSP, die nur https://partner.de erlaubt:


Header set Content-Security-Policy "frame-ancestors 'self' https://partner.de"


Das kannst du in die .htaccess eintragen oder per Plugin setzen. Wichtig: X-Frame-Options und CSP sollten nicht widersprüchlich sein! Sonst gewinnt meist der restriktivere Header.

• Für einzelne Seiten: Nutze Plugins wie HTTP Headers oder WP Content Security Policy, um gezielt für bestimmte Seiten oder Post-Types Ausnahmen zu definieren.
• Für Multisites oder komplexe Setups: Setze die Header serverseitig und arbeite mit Location– oder Directory-Blöcken, um gezielt Bereiche freizugeben.
• Für dynamische Freigaben: Entwickle ein kleines Plugin, das je nach User, Referrer oder URL die Header dynamisch setzt. Das ist advanced, aber super flexibel!

Best Practices für sichere Embeds

• Setze X-Frame-Options immer bewusst – nie einfach entfernen! Überlege, wer deine Seite einbetten darf und warum.
• Nutze CSP für feingranulare Steuerung und kombiniere sie mit X-Frame-Options für maximale Kompatibilität.
• Teste regelmäßig mit verschiedenen Browsern und Tools, ob deine Einstellungen wie gewünscht greifen.
• Dokumentiere deine Einstellungen – für dich, dein Team und zukünftige Admins.
• Halte WordPress, Plugins und Server aktuell, um Sicherheitslücken zu vermeiden.

Fazit: Sicherheit und Flexibilität sind kein Widerspruch!

Die X-Frame-Options sind ein mächtiges Werkzeug, um deine WordPress-Seite vor Angriffen zu schützen – aber sie können auch zum Stolperstein werden, wenn du legitime Embeds brauchst. Mit ein bisschen Know-how, den richtigen Tools und einer Prise Mut zur Anpassung kannst du beides haben: Sicherheit und Flexibilität. Und falls du dabei mal nicht weiterkommst, gibt’s ja noch uns von Nakaryu!

Wie Nakaryu dir helfen kann

Du willst dich nicht mit Headern, .htaccess und CSP herumschlagen? Kein Problem! Wir von Nakaryu sind nicht nur Webdesign-Nerds, sondern auch echte Sicherheits- und WordPress-Profis. Ob du eine neue Website brauchst, ein komplexes Portal planst oder einfach nur willst, dass deine Embeds endlich funktionieren – wir helfen dir schnell, sicher und mit persönlichem Support. Schau dir unsere Webdesign-Flatrates an und lass uns gemeinsam deine digitale Bühne bauen!

Quellen

• MDN Web Docs: X-Frame-Options
• OWASP Secure Headers Project
• SecurityHeaders.com
• SSL Labs
• WordPress Plugin: HTTP Headers
• WordPress Plugin: WP Content Security Policy

Fragen zum Thema

Was sind X-Frame-Options und warum sind sie wichtig?

X-Frame-Options ist ein HTTP-Header, der steuert, ob und von welchen Domains deine Website in einem <iframe> eingebettet werden darf. Er schützt vor Clickjacking-Angriffen, bei denen Nutzer:innen unbemerkt auf versteckte Elemente klicken könnten. Damit ist er ein zentrales Sicherheitsfeature für moderne Websites.

Warum blockiert WordPress oft externe Embeds?

Viele WordPress-Installationen, Themes, Plugins und Hoster setzen den X-Frame-Options-Header automatisch auf SAMEORIGIN oder DENY. Das schützt vor Angriffen, verhindert aber auch, dass du deine Seite in externe Dienste, Apps oder Partnerseiten einbetten kannst.

Wie kann ich prüfen, ob X-Frame-Options auf meiner Seite gesetzt ist?

Du kannst die Browser-Entwicklertools (F12), Online-Tools wie securityheaders.com oder cURL im Terminal nutzen, um die gesetzten HTTP-Header deiner Website zu überprüfen.

Wie kann ich X-Frame-Options gezielt anpassen oder Ausnahmen für Embeds setzen?

Je nach Hosting-Umgebung kannst du X-Frame-Options in der .htaccess (Apache), nginx.conf (Nginx), web.config (IIS), per WordPress-Plugin oder in der functions.php anpassen. Für gezielte Freigaben empfiehlt sich die Nutzung der Content-Security-Policy (CSP), mit der du genau festlegen kannst, welche Domains deine Seite einbetten dürfen.

Was sind die Best Practices für sichere und flexible Embeds in WordPress?

Setze X-Frame-Options immer bewusst und entferne sie nie leichtfertig. Nutze CSP für feingranulare Steuerung, teste deine Einstellungen regelmäßig und dokumentiere sie. Halte WordPress, Plugins und Server aktuell. Für individuelle Anforderungen bietet Nakaryu maßgeschneiderte, sichere Lösungen und persönlichen Support.