No consigo que el script tag funcione en el plugin de landing pages debido a content-security-policy

[awesomerobot (Kris)]

Hay información en esta publicación que puede ayudar: Mitigate XSS Attacks with Content Security Policy

@Discourse

CSP e integraciones de terceros

Al utilizar servicios de terceros como Google Tag Manager, Google Analytics o servicios de publicidad, es posible que necesites ajustar la configuración de tu CSP. En la mayoría de los casos con Discourse versión 3.3.0.beta1 o posterior, los scripts externos deberían funcionar sin configuración adicional debido a la implementación de CSP ‘strict-dynamic’.

Si encuentras problemas, es posible que necesites:

1. Identificar las fuentes de script requeridas monitoreando la consola de tu navegador
2. Añadir las fuentes necesarias a la configuración content_security_policy_script_src
3. Para integraciones complejas como servicios de publicidad que cargan recursos externos, es posible que necesites habilitar la renderización entre dominios (PR de ejemplo de discourse-adplugin que hace esto).

Mejores prácticas

1. Comienza con el modo CSP Report-Only para identificar posibles problemas
2. Ajusta gradualmente tu CSP a medida que resuelves violaciones legítimas
3. Revisa regularmente la configuración de tu CSP y ajústala según sea necesario
4. Ten cuidado al añadir directivas permisivas como 'unsafe-eval' o 'wasm-unsafe-eval'
5. Mantén tu instancia de Discourse actualizada para beneficiarte de las últimas mejoras de CSP