Le tag de script JS inline n’est pas chargé à cause de la CSP et je ne sais pas comment résoudre ce problème.
Il y a des informations dans ce post qui pourraient vous aider : Mitigate XSS Attacks with Content Security Policy
Discourse:
CSP et intégrations tierces
Lorsque vous utilisez des services tiers tels que Google Tag Manager, Google Analytics ou des services publicitaires, vous devrez peut-être ajuster vos paramètres CSP. Dans la plupart des cas, avec Discourse version 3.3.0.beta1 ou ultérieure, les scripts externes devraient fonctionner sans configuration supplémentaire en raison de l’implémentation CSP « strict-dynamic ».
Si vous rencontrez des problèmes, vous devrez peut-être :
Identifier les sources de script requises en surveillant la console de votre navigateur
Ajouter les sources nécessaires au paramètre content_security_policy_script_src
Pour les intégrations complexes telles que les services publicitaires qui chargent des ressources externes, vous pourriez avoir besoin d’activer le rendu inter-domaines (Exemple de PR de discourse-adplugin qui fait cela).
Meilleures pratiques
Commencez avec le mode CSP Report-Only pour identifier les problèmes potentiels
Renforcez progressivement votre CSP à mesure que vous résolvez les violations légitimes
Examinez régulièrement vos paramètres CSP et ajustez-les au besoin
Soyez prudent lorsque vous ajoutez des directives permissives telles que 'unsafe-eval' ou 'wasm-unsafe-eval'
Maintenez votre instance Discourse à jour pour bénéficier des dernières améliorations CSP
J’ai lu ceci et d’autres, mais je n’arrive pas à comprendre comment ajouter l’exception à la politique de sécurité du contenu script_src
Voyez-vous une erreur concernant le script dans la console de votre navigateur ? quelque chose comme ceci ?
Vous voudrez ajouter ce hash fourni ('sha256-xxxxx') au paramètre « content security policy script src » que l’on trouve dans admin > all site settings.
TheNab
Juillet 1, 2025, 3:57
5
L’erreur que j’obtenais avait nonce-s0m3h4sh dans le navigateur Firefox, je n’obtenais pas le sha256-s0m3h4sh. Mais quand je viens de regarder dans Chrome, c’était le sha256.
