アプリのURLがiframe内で読み込まれる際、正しいオリジンであることを確認するヘッダーはどれか。

CSPのframe-ancestorsディレクティブが現在の標準的な検証手段です。