Clickjacking : le détournement de clic
Le clickjacking est une technique discrète mais redoutable : elle exploite l'interface pour amener la victime à interagir avec des éléments invisibles ou déguisés. Un simple clic peut alors déclencher une action non voulue.
Qu'est-ce que le clickjacking ?
Le clickjacking (« détournement de clic ») piège l'utilisateur pour qu'il clique sur un élément qu'il ne voit pas. L'attaquant superpose une page piégée à un site légitime : la victime croit interagir avec le site affiché alors qu'elle déclenche en réalité des actions cachées : changer un mot de passe, supprimer un compte, valider une opération.
Apparue en 2008, la technique a été largement exploitée dans les années 2010. De nombreuses plateformes ont corrigé la faille, mais certaines applications restent vulnérables. Souvent sous-estimée, elle peut, dans certains contextes, avoir des conséquences critiques, jusqu'au vol de compte.
Comment fonctionne l'attaque
Une page légitime en cadre
L'attaquant intègre le vrai site dans un cadre (iframe) invisible, parfois avec des champs pré-remplis via les paramètres de l'URL.
Un leurre par-dessus
Un faux bouton attractif est positionné, en CSS, exactement au-dessus du bouton réel de la page légitime.
Une superposition invisible
En jouant sur la transparence et l'ordre d'affichage, le cadre réel devient invisible : la victime clique « à travers » le leurre.
Une action déclenchée à l'insu
Le clic atterrit sur le bouton réel : changement d'e-mail, validation sensible… ouvrant parfois la voie à une prise de contrôle du compte.
Pourquoi ne pas le négliger
Le clickjacking est souvent écarté parce qu'il suppose des scénarios « élaborés ». Pourtant, couplé à une fonctionnalité sensible (un changement d'adresse e-mail, par exemple), il peut transformer une faille jugée mineure en prise de contrôle de compte. La bonne nouvelle : il se prévient avec quelques en-têtes de sécurité bien posés, dans le prolongement d'une démarche de sécurité applicative.
Le principe de défense : interdire l'encadrement non autorisé
Se protéger du clickjacking revient à empêcher votre site d'être affiché dans un cadre contrôlé par un tiers. Deux mécanismes le permettent : l'en-tête X-Frame-Options (historique, encore utile pour les navigateurs anciens) et, surtout, la directive frame-ancestors d'une Content Security Policy, qui définit précisément qui a le droit d'encadrer vos pages. Leur efficacité se vérifie par un test d'intrusion.
Se protéger, étape par étape
Configurer X-Frame-Options
Interdire l'affichage de vos pages dans un cadre tiers, pour couvrir les navigateurs qui s'appuient encore sur cet en-tête.
Utiliser CSP frame-ancestors
Définir explicitement les origines autorisées à encadrer vos pages, la protection de référence aujourd'hui.
Cibler les pages sensibles
Vérifier en priorité les fonctions à fort enjeu : changement d'e-mail, de mot de passe, validation de paiement.
Exiger une confirmation
Pour les actions critiques, ajouter une étape de confirmation explicite difficile à automatiser via un leurre.
Renforcer cookies & sessions
Associer l'attribut SameSite aux cookies, en cohérence avec la protection contre la CSRF.
Tester l'encadrement
Un pentest vérifie qu'aucune page sensible ne peut être encadrée et détournée.
Pourquoi se faire accompagner par BCIT ?
Une évaluation ciblée
Nous identifions les pages sensibles encadrables et démontrons l'impact réel d'un détournement de clic.
Des correctifs simples
Des en-têtes de sécurité bien posés et vérifiés, sans surcharge inutile pour vos équipes.
Pas encore prêt à échanger ? Découvrez notre diagnostic cybersécurité →
Un clic ne devrait jamais réserver de surprise
Prenons 15 minutes pour vérifier que vos pages sensibles ne peuvent pas être encadrées et détournées à l'insu de vos utilisateurs.
Clickjacking : le détournement de clic
Le clickjacking est une technique discrète mais redoutable : elle exploite l'interface pour amener la victime à interagir avec des éléments invisibles ou déguisés. Un simple clic peut alors déclencher une action non voulue.
Qu'est-ce que le clickjacking ?
Le clickjacking (« détournement de clic ») piège l'utilisateur pour qu'il clique sur un élément qu'il ne voit pas. L'attaquant superpose une page piégée à un site légitime : la victime croit interagir avec le site affiché alors qu'elle déclenche en réalité des actions cachées : changer un mot de passe, supprimer un compte, valider une opération.
Apparue en 2008, la technique a été largement exploitée dans les années 2010. De nombreuses plateformes ont corrigé la faille, mais certaines applications restent vulnérables. Souvent sous-estimée, elle peut, dans certains contextes, avoir des conséquences critiques, jusqu'au vol de compte.
Comment fonctionne l'attaque
Une page légitime en cadre
L'attaquant intègre le vrai site dans un cadre (iframe) invisible, parfois avec des champs pré-remplis via les paramètres de l'URL.
Un leurre par-dessus
Un faux bouton attractif est positionné, en CSS, exactement au-dessus du bouton réel de la page légitime.
Une superposition invisible
En jouant sur la transparence et l'ordre d'affichage, le cadre réel devient invisible : la victime clique « à travers » le leurre.
Une action déclenchée à l'insu
Le clic atterrit sur le bouton réel : changement d'e-mail, validation sensible… ouvrant parfois la voie à une prise de contrôle du compte.
Pourquoi ne pas le négliger
Le clickjacking est souvent écarté parce qu'il suppose des scénarios « élaborés ». Pourtant, couplé à une fonctionnalité sensible (un changement d'adresse e-mail, par exemple), il peut transformer une faille jugée mineure en prise de contrôle de compte. La bonne nouvelle : il se prévient avec quelques en-têtes de sécurité bien posés, dans le prolongement d'une démarche de sécurité applicative.
Le principe de défense : interdire l'encadrement non autorisé
Se protéger du clickjacking revient à empêcher votre site d'être affiché dans un cadre contrôlé par un tiers. Deux mécanismes le permettent : l'en-tête X-Frame-Options (historique, encore utile pour les navigateurs anciens) et, surtout, la directive frame-ancestors d'une Content Security Policy, qui définit précisément qui a le droit d'encadrer vos pages. Leur efficacité se vérifie par un test d'intrusion.
Se protéger, étape par étape
Configurer X-Frame-Options
Interdire l'affichage de vos pages dans un cadre tiers, pour couvrir les navigateurs qui s'appuient encore sur cet en-tête.
Utiliser CSP frame-ancestors
Définir explicitement les origines autorisées à encadrer vos pages, la protection de référence aujourd'hui.
Cibler les pages sensibles
Vérifier en priorité les fonctions à fort enjeu : changement d'e-mail, de mot de passe, validation de paiement.
Exiger une confirmation
Pour les actions critiques, ajouter une étape de confirmation explicite difficile à automatiser via un leurre.
Renforcer cookies & sessions
Associer l'attribut SameSite aux cookies, en cohérence avec la protection contre la CSRF.
Tester l'encadrement
Un pentest vérifie qu'aucune page sensible ne peut être encadrée et détournée.
Pourquoi se faire accompagner par BCIT ?
Une évaluation ciblée
Nous identifions les pages sensibles encadrables et démontrons l'impact réel d'un détournement de clic.
Des correctifs simples
Des en-têtes de sécurité bien posés et vérifiés, sans surcharge inutile pour vos équipes.
Pas encore prêt à échanger ? Découvrez notre diagnostic cybersécurité →
Un clic ne devrait jamais réserver de surprise
Prenons 15 minutes pour vérifier que vos pages sensibles ne peuvent pas être encadrées et détournées à l'insu de vos utilisateurs.