CSP
Content-Security-Policy: frame-ancestors ... adalah kontrol modern untuk menentukan origin yang boleh menjadi parent iframe.
X-Frame-Options
Header lama seperti DENY/SAMEORIGIN dapat memblokir embed lintas domain.
Praktik
Gunakan allowlist domain dari aplikasi dan jangan membuka semua domain jika player hanya dipakai pada situs tertentu.
