¿Es seguro si compramos a través de un sitio web que está cargado en iframe?

No, siempre que CORS Access-Control-Allow-Origin tenga su valor restrictivo predeterminado. Esto evita que el sitio web externo acceda al sitio enmarcado a través de Javascript / etc.

CSRF aún son posibles los ataques, aunque la mayoría de los sitios se protegen de esto.

Tenga en cuenta que debe asegurarse de que el iframe se encuentre en el dominio correcto (haga clic con el botón derecho del ratón en > ver la información del marco en Chrome) y que no esté siendo objeto de suplantación de identidad.

Hay problemas planteados por Manishearth, pero también la posibilidad de que, al cargar el sitio en un iframe, podrían superponer sus propios campos de texto sobre los campos de entrada de la tarjeta de crédito, por ejemplo.

Es como una pequeña variación de un ataque de clickjacking y, si bien el sitio host no está robando datos del sitio que están encuadrando, en su lugar, simplemente lo están engañando para que lo inserte en el sitio.