landing pages pluginでscript tagがcontent-security-policyのため機能しない

[awesomerobot (Kris)]

この投稿には、役立つ情報が含まれている場合があります: Mitigate XSS Attacks with Content Security Policy

@Discourse

CSP とサードパーティの統合

Google Tag Manager、Google Analytics、または広告サービスなどのサードパーティサービスを使用する場合、CSP 設定を調整する必要がある場合があります。ほとんどの場合、Discourse バージョン 3.3.0.beta1 以降では、‘strict-dynamic’ CSP の実装により、追加の設定なしで外部スクリプトが機能するはずです。

問題が発生した場合は、次の手順を実行する必要がある場合があります。

1. ブラウザコンソールを監視して、必要なスクリプトソースを特定します。
2. 必要なソースを content_security_policy_script_src 設定に追加します。
3. 広告サービスのように外部リソースを読み込む複雑な統合の場合は、クロスドメインレンダリングを有効にする必要がある場合があります (これを実行する discourse-adplugin の例 PR)。

ベストプラクティス

1. 潜在的な問題を特定するために、CSP レポートオンリーモードから開始します。
2. 正当な違反を解決しながら、CSP を徐々に強化します。
3. CSP 設定を定期的にレビューし、必要に応じて調整します。
4. 'unsafe-eval' や 'wasm-unsafe-eval' のような緩いディレクティブを追加する際は注意してください。
5. 最新の CSP の改善を活用するために、Discourse インスタンスを最新の状態に保ちます。