headerヘッダーにx-frame-optionsを含めると、そのレスポンス結果をリファラーサイトの<iframe>で表示しても良いかどうか決めれます。このオプションは次の2つ(3つ)の値を持てます。<url>は古いのかうまく設定が効きかなかったので、覚えなくて良いかもしれません。denyリファラサイトへの<iframe>での埋め込みを禁じます。接続拒否画面が表示されます。denyを設定する必要がありそうです。sameorigin同ドメイン内だけに<iframe>埋め込みを許可したい場合はこの値です。localhost:3000/contentsを埋め込む場合、localhost:3000では大丈夫ですが、localhost:30001では接続が拒否されます。