diff --git a/deploy/Caddyfile b/deploy/Caddyfile
index 52ac2e5..6400889 100644
--- a/deploy/Caddyfile
+++ b/deploy/Caddyfile
@@ -12,8 +12,11 @@
 	header {
 		# HTTPS만 쓰라고 브라우저에 각인 (1년) — 평문 접속·다운그레이드 공격 차단
 		Strict-Transport-Security "max-age=31536000; includeSubDomains"
-		# 다른 사이트가 우리 화면을 iframe에 넣는 것 금지 → 클릭재킹 방어
-		X-Frame-Options "DENY"
+		# 다른 사이트가 우리 화면을 iframe에 넣는 것 금지 → 클릭재킹 방어.
+		# ⚠️ DENY(전면 금지)가 아니라 SAMEORIGIN(같은 사이트끼리는 허용)이어야 한다 —
+		# 학습 문서 뷰어(DocViewerPage)가 우리 문서를 우리 iframe으로 띄우기 때문이다.
+		# DENY로 두면 우리 문서조차 "연결 거부"로 안 뜬다(실제로 그 버그가 났었다).
+		X-Frame-Options "SAMEORIGIN"
 		# 브라우저가 파일 종류를 멋대로 추측(MIME 스니핑)하지 못하게
 		X-Content-Type-Options "nosniff"
 		# 다른 사이트로 이동할 때 우리 주소(경로)를 흘리지 않음