
<html><head><meta http-equiv="Content-Type" content="text/html; charset=us-ascii"></head><body style="word-wrap: break-word; -webkit-nbsp-mode: space; line-break: after-white-space;" class="">It depends on how fine grained you want to get in the process. The allow-from is deprecated and not supported in most current browsers. There are also levels of precedence depending on the browser when both x-frame-options and content-security-policy are in place. In many browsers, the content-security-policy will have higher precedence than x-frame-options if both are applied. There is an option in content-security-policy to apply specific domains allowed without flipping the switch entirely. It can be used in conjunction with x-frame-options with that caveat some browsers will apply x-frame-options first if used together (Safari is one example).<div class=""><br class=""></div><div class=""><a href="https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/frame-ancestors" class="">https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/frame-ancestors</a><br class=""><div class=""><div class=""><br class=""><div class=""><div class=""><div class="">

<div dir="auto" style="caret-color: rgb(0, 0, 0); letter-spacing: normal; text-align: start; text-indent: 0px; text-transform: none; white-space: normal; word-spacing: 0px; -webkit-text-stroke-width: 0px; text-decoration: none; word-wrap: break-word; -webkit-nbsp-mode: space; line-break: after-white-space;" class=""><div dir="auto" style="caret-color: rgb(0, 0, 0); letter-spacing: normal; text-align: start; text-indent: 0px; text-transform: none; white-space: normal; word-spacing: 0px; -webkit-text-stroke-width: 0px; text-decoration: none; word-wrap: break-word; -webkit-nbsp-mode: space; line-break: after-white-space;" class=""><div dir="auto" style="caret-color: rgb(0, 0, 0); letter-spacing: normal; text-align: start; text-indent: 0px; text-transform: none; white-space: normal; word-spacing: 0px; -webkit-text-stroke-width: 0px; text-decoration: none; word-wrap: break-word; -webkit-nbsp-mode: space; line-break: after-white-space;" class=""><div dir="auto" style="caret-color: rgb(0, 0, 0); letter-spacing: normal; text-align: start; text-indent: 0px; text-transform: none; white-space: normal; word-spacing: 0px; -webkit-text-stroke-width: 0px; text-decoration: none; word-wrap: break-word; -webkit-nbsp-mode: space; line-break: after-white-space;" class=""><div dir="auto" style="caret-color: rgb(0, 0, 0); letter-spacing: normal; text-align: start; text-indent: 0px; text-transform: none; white-space: normal; word-spacing: 0px; -webkit-text-stroke-width: 0px; text-decoration: none; word-wrap: break-word; -webkit-nbsp-mode: space; line-break: after-white-space;" class=""><div dir="auto" style="caret-color: rgb(0, 0, 0); letter-spacing: normal; text-align: start; text-indent: 0px; text-transform: none; white-space: normal; word-spacing: 0px; -webkit-text-stroke-width: 0px; text-decoration: none; word-wrap: break-word; -webkit-nbsp-mode: space; line-break: after-white-space;" class=""><div dir="auto" style="caret-color: rgb(0, 0, 0); letter-spacing: normal; text-align: start; text-indent: 0px; text-transform: none; white-space: normal; word-spacing: 0px; -webkit-text-stroke-width: 0px; text-decoration: none; word-wrap: break-word; -webkit-nbsp-mode: space; line-break: after-white-space;" class=""><div dir="auto" style="caret-color: rgb(0, 0, 0); letter-spacing: normal; text-align: start; text-indent: 0px; text-transform: none; white-space: normal; word-spacing: 0px; -webkit-text-stroke-width: 0px; text-decoration: none; word-wrap: break-word; -webkit-nbsp-mode: space; line-break: after-white-space;" class=""><div style="font-variant-ligatures: normal; font-variant-caps: normal; font-variant-east-asian: normal; font-variant-position: normal; letter-spacing: normal; line-height: normal; orphans: 2; text-align: -webkit-auto; text-indent: 0px; text-transform: none; white-space: normal; widows: 2; word-spacing: 0px; -webkit-text-stroke-width: 0px; word-wrap: break-word; -webkit-nbsp-mode: space; line-break: after-white-space;" class=""><div style="margin: 0in 0in 0.0001pt;" class=""><div style="margin: 0in 0in 0.0001pt;" class=""><b class=""><span style="font-style: normal; font-size: 15px;" class=""><font color="#990000" class="">Justin Robinson</font></span><span style="color: rgb(169, 5, 51); font-family: Arial, sans-serif; font-style: normal; font-weight: normal; font-size: 11pt;" class=""><o:p class=""></o:p></span></b></div><div style="color: rgb(0, 0, 0); font-family: Arial; font-style: normal; font-weight: normal; font-size: 12px; margin: 0in 0in 0.0001pt;" class=""><b class=""><font size="2" class="">Manager, Identity Management Systems</font></b></div><div style="color: rgb(0, 0, 0); font-family: Arial; font-style: normal; font-weight: normal; font-size: 12px; margin: 0in 0in 0.0001pt;" class=""><font size="2" class=""> </font></div><div style="color: rgb(0, 0, 0); font-family: Arial; font-style: normal; font-weight: normal; font-size: 12px; margin: 0in 0in 0.0001pt;" class=""><font size="2" class="">2709 East 10<sup class="">th</sup> Street<o:p class=""></o:p></font></div><div style="color: rgb(0, 0, 0); font-family: Arial; font-style: normal; font-weight: normal; font-size: 12px; margin: 0in 0in 0.0001pt;" class=""><font size="2" class="">Bloomington, IN 47408<o:p class=""></o:p></font></div><div style="color: rgb(0, 0, 0); font-family: Arial; font-style: normal; font-weight: normal; font-size: 12px; margin: 0in 0in 0.0001pt;" class=""><font size="2" class="">812.855.3264 tel<o:p class=""></o:p></font></div><div style="font-family: Arial; font-style: normal; font-weight: normal; font-size: 12px; margin: 0in 0in 0.0001pt;" class=""><a href="mailto:jr72@iu.edu" class=""><font size="2" color="#990000" class="">jr72@iu.edu</font></a></div></div></div></div></div></div></div></div></div></div></div>

</div>

<div><br class=""><blockquote type="cite" class=""><div class="">On Mar 29, 2021, at 2:10 PM, Wessel, Keith <kwessel@illinois.edu> wrote:</div><br class="Apple-interchange-newline"><div class=""><div class="">This message was sent from a non-IU address. Please exercise caution when clicking links or opening attachments from external sources.<br class="">-------<br class=""><br class="">For my second silly question of the day...<br class=""><br class="">If I want to allow my IdP to be loaded in an iframe, throwing caution and clickjacking protection to the wind, can I just add this to idp.properties:<br class=""><br class="">idp.frameoptions =<br class=""><br class=""><br class="">That's what I had in V3, but it doesn't seem to be working in V4 unless there's some other craziness going on.<br class=""><br class="">Alternatively, it looks like x-frame-options supports an allow-from option if I just want certain sites (our LMSes that are using our media sharing service in a frame) to be able to do this, is that allow-from actually well supported by browsers? If I want to allow from multiple domains, what would that look like in the IdP's configuration?<br class=""><br class="">Keith<br class=""><br class="">-- <br class="">For Consortium Member technical support, see https://wiki.shibboleth.net/confluence/x/coFAAg<br class="">To unsubscribe from this list send an email to users-unsubscribe@shibboleth.net<br class=""><br class=""></div></div></blockquote></div><br class=""></div></div></div></div></div></body></html>