X-Frame-Options とは、 Web ページの iframe への埋め込みを制御する HTTP レスポンスヘッダーです。クリックジャッキング攻撃の防止に使用され、ページが意図しないサイトの iframe 内に表示されることを防ぎます。
設定可能な値は 3 つです。 DENY (すべての iframe 埋め込みを禁止) 、 SAMEORIGIN (同一オリジンからの埋め込みのみ許可) 、 ALLOW-FROM uri (指定したオリジンからの埋め込みのみ許可、ただし多くのブラウザで非対応) です。
X-Frame-Options と CSP の frame-ancestors ディレクティブは同じ目的を持ちますが、 CSP の方が新しい仕様であり、複数のオリジンを指定できる柔軟性があります。両方を設定した場合、 CSP の frame-ancestors が優先されます。新規実装では CSP の frame-ancestors を推奨しますが、古いブラウザとの互換性のために X-Frame-Options も併設するのがベストプラクティスです。
短縮 URL サービスでは、管理画面やプレビューページに X-Frame-Options: DENY を設定し、 iframe への埋め込みを禁止することで、クリックジャッキング攻撃を防止します。リダイレクト用のエンドポイントは iframe 内で使用されるケースがほぼないため、同様に DENY を設定して問題ありません。関連書籍は Amazon でも探せます。