Adicione fontes CSP ao plugin

Suporte
1

De acordo com Mitigate XSS Attacks with Content Security Policy, é possível adicionar um conjunto de fontes às políticas de CSP.

Acho que seria ótimo adicionar um grupo de fontes como as mencionadas acima para o Google AdSense, facilitando assim a configuração do plugin para usuários não avançados.

CSP Violation: 'https://partner.googleadservices.com'
CSP Violation: 'https://tpc.googlesyndication.com'
CSP Violation: 'https://pagead2.googlesyndication.com'
CSP Violation: 'https://adservice.google.com'
2

Concordo! Recentemente, os anúncios deixaram de funcionar em um site exatamente por esse motivo, e levei um tempo para descobrir a causa.

3

Isso realmente é suficiente? Parece que sempre há outros recursos vindos de outros domínios que causam mais violações de CSP, mesmo com os google*.com listados. Além disso, o Google é livre para mudar de onde vêm os recursos de anúncios a qualquer momento. Também seria surpreendente se alguém instalasse o plugin e, de repente, tivesse todos esses recursos permitidos (AdSense, Ad Manager, Amazon, CodeFund, Carbon Ads e qualquer outra coisa incluída no plugin) adicionados às suas configurações de segurança sem pedir permissão.

4

Não é, mas é um bom começo. O Google também envia de domínios localizados, como google.com.mx ou google.co.ve.

Outra coisa seria adicionar a restrição de CSP à documentação do plugin e deixar que cada um decida como resolver isso.

5

Isso foi adicionado em setembro passado: Discourse Advertising Plugin (Ads)

6

:raised_hand: Aqui também. Sempre é perigoso (uma má prática) ativar configurações restritivas por padrão, especialmente em atualizações. Demorei um pouco para descobrir o que estava quebrado.

(Isso também quebra scripts externos de consentimento de cookies, que são super irritantes, mas são quase um requisito legal)

7

Não vamos entregar, por padrão, as chaves da sua comunidade ao Google JS. Além disso, não podemos incluir uma lista sugerida de fontes para adicionar às configurações do CSP, já que a documentação oficial do Google não inclui todas as fontes necessárias e pode alterá-las a qualquer momento (e já o fez?). Após lidar com isso com um cliente na semana passada (adicionando 19 fontes para fazer funcionar), ativar o CSP enquanto usa anúncios do Google será doloroso, e não conseguimos automatizar isso no plugin.