Clickjacking-Schutz für Nuxt 3

// nuxt.config.ts — nuxt-security (setzt DENY automatisch)
export default defineNuxtConfig({
  modules: ['nuxt-security'],

  security: {
    headers: {
      xFrameOptions: 'DENY',
      // Zusätzlich in CSP:
      contentSecurityPolicy: {
        'frame-ancestors': ["'none'"],
      },
    },
  },
})

// nuxt.config.ts — routeRules
export default defineNuxtConfig({
  routeRules: {
    '/**': {
      headers: {
        'X-Frame-Options': 'DENY',
      },
    },
    // Ausnahme für einbettbare Seiten:
    '/embed/**': {
      headers: {
        'X-Frame-Options': 'SAMEORIGIN',
      },
    },
  },
})

// server/middleware/x-frame.ts — Nitro Middleware
export default defineEventHandler((event) => {
  setHeader(event,
    'X-Frame-Options',
    'DENY'
  );
})

# X-Frame-Options prüfen
curl -sI https://ihre-domain.de | grep -i x-frame

# Erwartete Ausgabe:
# X-Frame-Options: DENY