Una empresa utiliza Amazon CloudFront con dos orígenes: una aplicación dinámica en Amazon EC2 y un bucket de Amazon S3 para contenido estático. Una revisión de seguridad encontró que las respuestas HTTPS de la aplicación carecen del encabezado HTTP X-Frame-Options, que es necesario para mitigar el clickjacking. Un ingeniero de seguridad debe asegurarse de que toda la pila cumpla con los requisitos añadiendo el encabezado a las respuestas. ¿Qué enfoque cumple con este requisito?

La opción correcta es implementar una función Lambda@Edge en el evento de respuesta del origen de CloudFront. Esto permite modificar la respuesta HTTP después de que el origen (la aplicación EC2) la envíe a CloudFront, pero antes de que CloudFront la envíe al visor. De esta manera, se puede inyectar el encabezado X-Frame-Options sin modificar la aplicación subyacente, asegurando que todas las respuestas HTTPS lo incluyan. Las otras opciones son incorrectas porque: Activar Lambda@Edge en el evento de solicitud del visor no funcionaría, ya que ese evento ocurre antes de que la respuesta del origen esté disponible para ser modificada. CloudFront no permite añadir encabezados HTTP arbitrarios como X-Frame-Options directamente en la configuración del origen para respuestas. Modificar la aplicación en EC2 es una solución válida, pero la pregunta busca un enfoque que cumpla el requisito, y Lambda@Edge ofrece una forma desacoplada y centralizada de hacerlo a nivel de CDN, sin cambios en el código de la aplicación.