En general, siempre vale la pena tenerlo o, mejor dicho, no duele y puede evitar los ataques de clickjacking.
Por supuesto que sí depende de tu escenario de uso. Por ejemplo, si el contenido que está creando debe mostrarse en un iframe (tal vez en una red de publicidad), es probable que no quiera salir del marco.
Puede encontrar un buen recurso para leer sobre los diversos enfoques para implementar esto aquí .
Otra cosa a tener en cuenta es que puede dar una falsa sensación de seguridad, es un juego de gato y ratón en lo que respecta a ataques de clickjacking y medidas defensivas. Agregar protección de clickjacking bien implementada a su sitio es excelente y definitivamente vale la pena hacerlo, pero deberá revisarlo periódicamente para asegurarse de que sigue siendo adecuado para su propósito, como todo lo demás cuando se trata de seguridad :)
EDIT
Solo quería aclarar que la defensa de clickjacking debería incluir tanto X-Frame-Options como un poco de javascript para los navegadores más antiguos que no admiten encabezados de X-Frame-Options. La capa javascript de la defensa tiene varias limitaciones, aunque también se encuentran en esta página .