Impossibile far funzionare il tag script nel plugin delle landing page a causa di content-security-policy

[awesomerobot (Kris)]

Ci sono alcune informazioni in questo post che potrebbero aiutare: Mitigate XSS Attacks with Content Security Policy

@Discourse

CSP e integrazioni di terze parti

Quando si utilizzano servizi di terze parti come Google Tag Manager, Google Analytics o servizi pubblicitari, potrebbe essere necessario modificare le impostazioni CSP. Nella maggior parte dei casi, con Discourse versione 3.3.0.beta1 o successive, gli script esterni dovrebbero funzionare senza configurazione aggiuntiva grazie all’implementazione CSP ‘strict-dynamic’.

Se si riscontrano problemi, potrebbe essere necessario:

1. Identificare le origini script richieste monitorando la console del browser
2. Aggiungere le origini necessarie all’impostazione content_security_policy_script_src
3. Per integrazioni complesse come i servizi pubblicitari che caricano risorse esterne, potrebbe essere necessario abilitare il rendering cross-domain (Esempio PR da discourse-adplugin che fa questo).

Buone pratiche

1. Iniziare con la modalità CSP Report-Only per identificare potenziali problemi
2. Restringere gradualmente la CSP man mano che si risolvono violazioni legittime
3. Rivedere regolarmente le impostazioni CSP e apportare modifiche secondo necessità
4. Prestare attenzione quando si aggiungono direttive permissive come 'unsafe-eval' o 'wasm-unsafe-eval'
5. Mantenere aggiornata l’istanza di Discourse per beneficiare dei più recenti miglioramenti CSP