Как защитить от clickjacking?

Clickjacking — атака, когда твой сайт загружают в iframe на злом сайте, а пользователь кликает по невидимым кнопкам. Защита: header X-Frame-Options: DENY (нельзя в iframe нигде) или SAMEORIGIN (только свой домен). Современный вариант — CSP: frame-ancestors 'none'. В Go — middleware, который добавляет header ко всем ответам. Для API это менее критично, но для веб-интерфейсов обязательно. Одна строчка кода, а закрывает целый класс атак.