Clickjacking

Le clickjacking embarque une page sensible (paramètres de compte, consentement OAuth, confirmation de paiement) dans une iframe sur un site malveillant et la masque visuellement — transparence, superpositions CSS, positionnement sous des boutons leurres. L'utilisateur croit interagir avec la page visible, mais ses clics, taps ou glissés sont en réalité reçus par l'iframe cachée, effectuant des actions dans sa session authentifiée. Les variantes incluent le cursorjacking, les attaques par drag-and-drop et le double clickjacking. Les défenses sont côté serveur sur la page cible : en-tête X-Frame-Options ou, de préférence, Content-Security-Policy avec frame-ancestors, demande d'interaction explicite pour les actions sensibles et cookies SameSite.