Load denied by X-Frame-Options: es el error que devuelve la consola de firefox cuando intentamos cargar algunas web en un iframe.

El motivo suele ser que la página web que queremos cargar en el iframe tiene establecido el encabezado de respuesta HTTP X-Frame-Options como DENY o como SAMEORIGIN.

Este encabezado indica si se le permite a un navegador renderizar la página en otra web, o en la misma, itulizando las etiquetas frame, iframe o object. Se trata de una forma de de evitar ataques clickjacking, pero sólo es posible utilizarlo si el usuario accede utilizando un navegador con soporte para X-Frame-Options.

Directivas para X-Frame-Options

	X-Frame-Options: DENY
	X-Frame-Options: SAMEORIGIN
	X-Frame-Options: ALLOW-FROM https://miweb.com/

DENY: la página no será renderizada en un marco frame, ifram o object.
SAMEORIGIN: la página podrá ser renderizada e un marco del mismo origen que dicha página.
ALLOW-FROM uri: la página podrá ser renderizada en un marco que esté en el origen especificado.

Configuración

Para configurar este encabezado, deberemos hacerlo desde el archivo de ocnfiguración del servidor web. Utilizando una etiqueta meta no surtirá ningún efecto.

Configurar en servidor web Apache

Ejemplo para DENY

	Header set X-Frame-Options DENY

Ejemplo para SAMEORIGIN

	Header always append X-Frame-Options SAMEORIGIN

Ejemplo para ALLOW-FROM

	Header set X-Frame-Options "ALLOW-FROM https://miotraweb.com/"

Configurar en servidor web nginx

Ejemplo para DENY

	add_header X-Frame-Options DENY

Ejemplo para SAMEORIGIN

	add_header X-Frame-Options SAMEORIGIN

Ejemplo para ALLOW-FROM

	add_header X-Frame-Options "ALLOW-FROM https://miotraweb.com/"