Как разрешить открывать мой сайт в iframe для конкретных сайтов?

Во-первых, надо «разрешить определенным сайтам», а не «запретить всем», а, во-вторых, похоже, что это перестаёт работать (вызывает ошибку при попытке доступа к window.top, если оно действительно с другого домена).

wisgest, действительно, здесь ограничения по доменам никак не впишешь. Но по крайней мере, если надо запретить всем, такой простой запрет очень хорош - недавно написал бота для ВК и если убрать заголовок X-Frame-Options не составило проблем, то вот такую банальную проверку в самом коде обойти не удалось, так как браузерные расширения не имеют доступа к телу ответа, пришлось извращаться.