Impossible d'utiliser la balise script dans le plugin de pages de destination en raison de content-security-policy

[awesomerobot (Kris)]

Il y a des informations dans ce post qui pourraient vous aider : Mitigate XSS Attacks with Content Security Policy

@Discourse

CSP et intégrations tierces

Lorsque vous utilisez des services tiers tels que Google Tag Manager, Google Analytics ou des services publicitaires, vous devrez peut-être ajuster vos paramètres CSP. Dans la plupart des cas, avec Discourse version 3.3.0.beta1 ou ultérieure, les scripts externes devraient fonctionner sans configuration supplémentaire en raison de l’implémentation CSP « strict-dynamic ».

Si vous rencontrez des problèmes, vous devrez peut-être :

1. Identifier les sources de script requises en surveillant la console de votre navigateur
2. Ajouter les sources nécessaires au paramètre content_security_policy_script_src
3. Pour les intégrations complexes telles que les services publicitaires qui chargent des ressources externes, vous pourriez avoir besoin d’activer le rendu inter-domaines (Exemple de PR de discourse-adplugin qui fait cela).

Meilleures pratiques

1. Commencez avec le mode CSP Report-Only pour identifier les problèmes potentiels
2. Renforcez progressivement votre CSP à mesure que vous résolvez les violations légitimes
3. Examinez régulièrement vos paramètres CSP et ajustez-les au besoin
4. Soyez prudent lorsque vous ajoutez des directives permissives telles que 'unsafe-eval' ou 'wasm-unsafe-eval'
5. Maintenez votre instance Discourse à jour pour bénéficier des dernières améliorations CSP