Мы только что добавили поддержку директивы CSP frame-ancestors. Пока она отключена по умолчанию и доступна через настройку сайта content security policy frame ancestors. Вы можете добавлять домены в список, как обычно, через /admin/customize/embedding.
В следующем цикле релизов эта директива будет включена по умолчанию.