Proteção contra clickjacking
Falha se a resposta não tiver X-Frame-Options com DENY ou SAMEORIGIN nem a diretiva frame-ancestors na CSP.
Por que importa
Sem essa proteção, outro site pode carregar o seu dentro de um iframe invisível e levar o usuário a clicar em botões do seu app sem perceber (clickjacking).
Como corrigir
Envie X-Frame-Options: DENY ou Content-Security-Policy: frame-ancestors 'none'. Se o app precisa abrir em iframe no próprio domínio, use SAMEORIGIN ou frame-ancestors 'self'.
Como conferir a correção
HTTP-003
curl -sI https://seu-app.com | grep -iE 'x-frame-options|frame-ancestors'