Un iframe incorporato è una pagina web caricata all'interno di un'altra pagina web, di solito tramite un elemento HTML iframe. Sembra far parte della pagina principale, ma può provenire da un'origine, un dominio o un'applicazione diversi. Questa separazione è importante perché i browser applicano la stessa policy di origine per limitare ciò che il contenuto nel riquadro può leggere o controllare.
Nell'ambito della sicurezza, gli iframe sono importanti perché possono diventare una superficie di attacco cross-origin. Un sito malevolo può cercare di indurre una pagina fidata a caricare contenuti del frame controllati dall'attaccante, oppure usare un frame per sondare i flussi di accesso, rubare token o influenzare la logica delle estensioni del browser. I difensori riducono il rischio con controlli sull'origine, protezioni anti-framing, Content Security Policy, sandboxing e una gestione attenta dei messaggi tra i frame. Quando uno strumento sensibile, come un archivio di password, si fida troppo di un frame incorporato, il frame può diventare un percorso verso materiale di autenticazione.