Iframe met kaart wil niet laden in nieuwe safari en chrome.

[saintgein]

Hallo mensen,

ik ben bezig met een site die als hoofddoel heeft een simpele pwa op basis van wordpress met een iframe, en in dat iframe een kaart met dronegegevens. Echter, ik krijg het met geen mogelijkheid voor elkaar om de volledige inhoud van het iframe op alle browsers te laten zien. Hij laat het frame zien, de rand eromheen ook, maar de kaart wil hij niet laden. Ik heb de laatste tijd wat gewerkt met security headers om de security wat op te krikken, al valt het me op dat zelfs zonder deze wijzigingen niet lukt.

Het gaat om *snip* spam

Het lastige is dat ik nergens een foutmelding kan vinden in chrome dev tools, of die van firefox. Het enige dat ik weet is dat de bron van de kaart x-frame-options heeft gebruikt: https://securityheaders.c....nl%2F&followRedirects=on

Heeft iemand een idee wat er misgaat? Serieus Bedankt!
...

Wordpress
Securityheaders
iFrame
...

Aan de hand van een artikel van chrome kwam ik erachter dat drive by downloads niet meer werken in de nieuwste chrome, ik heb een donkerbruin vermoeden dat dit ook bij de nieuwste safari zo is. Misschien dat dat de reden kan zijn? https://www.chromestatus.com/feature/5706745674465280

Verder heb ik alle mogelijke beveiliging uit gehad en heb ik wat attributen aan de iframe toegevoegd:

HTML:

<iframe sandbox="allow-downloads-without-user-activation allow-scripts allow-same-origin allow-pointer-lock"
    title="Kaart veilig Drone Vliegen"
    src="https://aeret.kaartviewer.nl/index.php?@dpf_basic&mobiel=true#mappage">
">
</iframe>

[ Voor 6% gewijzigd door RobIII op 08-05-2019 17:17 . Reden: Link verwijderd, code tags toegevoegd ]

[RobIII]

saintgein schreef op woensdag 8 mei 2019 @ 16:35:
Aan de hand van een artikel van chrome kwam ik erachter dat drive by downloads niet meer werken in de nieuwste chrome, ik heb een donkerbruin vermoeden dat dit ook bij de nieuwste safari zo is.

Driveby downloads zijn heel iets anders dus, nee, dat is waarschijnlijk niet je probleem.

Op je originele site (die ik heb verwijderd omdat we van je verwachten dat je een testcase maakt én omdat 't onder spam valt) zie ik wél problemen:



Dus ik weet niet waar jij kijkt...

[ Voor 109% gewijzigd door RobIII op 10-05-2019 10:37 ]

[saintgein]

RobIII schreef op woensdag 8 mei 2019 @ 17:18:
[...]

Driveby downloads zijn heel iets anders dus, nee, dat is waarschijnlijk niet je probleem.

Ok, ik ben vrij nieuw op dit gebied. Bedankt voor de informatie! Dan heeft het te maken dat er ergens een permission niet goed staat, maar ik kan niet vinden waar haha.

*
Die errors liggen voornamelijk aan de kaart zelf, die bestanden bestaan daadwerkelijk niet. Maar dat andere wat jij liet zien van jsfiddle is volgens mij het probleem! Bedankt daarvoor. En mijn excuses als dit als spam gezien werd.

[ Voor 24% gewijzigd door saintgein op 08-05-2019 17:42 ]

[n9iels]

Het probleem dat hier speelt is dat de website die je via de iframe wilt inladen de volgende header terug stuur:

code:

X-Frame-Options: ALLOW-FROM https://www.dronepreflight.nl/ https://kaart.dronepreflight.nl/ https://exif.aeret.nl/ https://aeret.kaartviewer.nl/

Deze header bepaald of de website in een iframe weergeven mag worden of niet. In dit geval mag dat, mist de website een van de gegeven domeinnamen heeft. Je zult dus de eigenaar van de kaarten website moeten benaderen en vragen of hij hiervoor een oplossing heeft.

[saintgein]

n9iels schreef op vrijdag 10 mei 2019 @ 08:40:
Het probleem dat hier speelt is dat de website die je via de iframe wilt inladen de volgende header terug stuur:

code:

X-Frame-Options: ALLOW-FROM https://www.dronepreflight.nl/ https://kaart.dronepreflight.nl/ https://exif.aeret.nl/ https://aeret.kaartviewer.nl/

Deze header bepaald of de website in een iframe weergeven mag worden of niet. In dit geval mag dat, mist de website een van de gegeven domeinnamen heeft. Je zult dus de eigenaar van de kaarten website moeten benaderen en vragen of hij hiervoor een oplossing heeft.

Dat is dus het vreemde. De site waar het over gaat staat in die lijst. Ik heb overigens nog wat getest, en het werkt als ik &mobile=true#mappage weghaal in de iframe. Daardoor dat ik het idee heb dat die die policy afgekeurd word door een ander gegeven. Of het zijn die 404's, of het zijn de onderdelen van nationaalregister.nl die het probleem veroorzaken. Het rare is dat het dus wel werkt in firefox en edge met die &mobile=true#mappage.

Sowieso bedankt voor het antwoord!

[n9iels]

Even wat onderzoek gedaan en het lijkt erop dat de X-Frame-Options headers niet meerdere domeinnamen ondersteund. De header is dus zoals deze nu staat niet geldig.

Dit stackoverflow topic kan misschien helpen met een oplossing: https://stackoverflow.com...low-from-multiple-domains

[saintgein]

n9iels schreef op vrijdag 10 mei 2019 @ 13:34:
Even wat onderzoek gedaan en het lijkt erop dat de X-Frame-Options headers niet meerdere domeinnamen ondersteund. De header is dus zoals deze nu staat niet geldig.

Dit stackoverflow topic kan misschien helpen met een oplossing: https://stackoverflow.com...low-from-multiple-domains

Dit is het antwoord waar ik naar op zoek ben! Zoals ik aangaf ben ik vrij nieuw met die headers, dus dit is wel een enorm leerzame ervaring. Het is wel een chaos merk ik, elke browser pakt het weer anders aan. Ik krijg bij firefox bv deze melding: Content Security Policy: ‘x-frame-options’ wordt genegeerd vanwege ‘frame-ancestors’-instructie. Maargoed, ik ga ermee sleutelen. Bedankt!