Waarom kan ik geen iframes laden op mijn website?

Waarom iframes een risico vormen

1. Clickjacking

Een kwaadwillende kan jouw site in een onzichtbare iframe plaatsen en de gebruiker knoppen laten klikken zonder dat hij het doorheeft. Voorbeeld: een “Like”‑knop of zelfs een betaalbutton wordt bovenop een andere interface gelegd.

Gevolg: Gebruikers voeren acties uit die ze niet bedoelden.

2. Cross‑site scripting via embedded content

Als je een iframe laadt van een externe bron die niet 100% betrouwbaar is, kan die bron scripts uitvoeren binnen de context van jouw pagina.

Gevolg:

• Diefstal van cookies

• Injectie van kwaadaardige scripts

• Manipulatie van de UI

3. Geen controle over wat er binnen de iframe gebeurt

Een iframe is een “black box”. Je ziet niet:

• welke scripts worden geladen

• welke trackers actief zijn

• of de content later wordt aangepast

Gevolg: Je kunt niet garanderen dat de embedded content veilig blijft.

4. Phishing‑risico’s

Een iframe kan een interface tonen die lijkt op een echte login of checkout, maar in werkelijkheid data doorstuurt naar een aanvaller.

Gevolg: Gebruikers denken dat ze op jouw site inloggen of betalen, maar hun gegevens worden onderschept.

5. Sandboxing is optioneel — en vaak niet gebruikt

Je kunt een iframe sandboxen, maar:

• bijna niemand configureert het correct

• veel externe diensten werken niet met sandboxing

• sandboxing beperkt functionaliteit, waardoor developers het uitschakelen

Gevolg: Een iframe draait vaak met veel te veel rechten.

6. Mixed content & man‑in‑the‑middle risico’s

Als een iframe niet via HTTPS wordt geladen, kan de inhoud worden onderschept of gemanipuleerd.

Gevolg: Je site lijkt veilig, maar de iframe‑inhoud niet.

7. Performance & tracking risico’s

Veel iframes laden third‑party scripts:

• trackers

• analytics

• advertenties

• fingerprinting scripts

Gevolg: Je verliest controle over privacy en performance.

Samengevat

Je moet iframes vermijden voor security‑kritische onderdelen zoals:

• checkouts

• login‑flows

• funnels met betaalstappen

• formulieren met persoonsgegevens

Omdat je:

• geen controle hebt over de inhoud

• kwetsbaar bent voor clickjacking

• risico loopt op XSS

• phishing‑scenario’s mogelijk maakt

• afhankelijk bent van externe scripts