Não consigo fazer a tag de script funcionar no plugin de landing pages devido à content-security-policy

[awesomerobot (Kris)]

Há algumas informações neste post que podem ajudar: Mitigate XSS Attacks with Content Security Policy

@Discourse

CSP e integrações de terceiros

Ao usar serviços de terceiros como Google Tag Manager, Google Analytics ou serviços de publicidade, pode ser necessário ajustar suas configurações de CSP. Na maioria dos casos com o Discourse versão 3.3.0.beta1 ou posterior, scripts externos devem funcionar sem configuração adicional devido à implementação de CSP ‘strict-dynamic’.

Se você encontrar problemas, pode ser necessário:

1. Identificar as fontes de script necessárias monitorando o console do seu navegador
2. Adicionar as fontes necessárias à configuração content_security_policy_script_src
3. Para integrações complexas como serviços de anúncios que carregam recursos externos, pode ser necessário habilitar a renderização entre domínios (Exemplo de PR do discourse-adplugin que faz isso).

Melhores práticas

1. Comece com o modo CSP Report-Only para identificar problemas potenciais
2. Aumente gradualmente seu CSP à medida que resolve violações legítimas
3. Revise regularmente suas configurações de CSP e ajuste conforme necessário
4. Tenha cuidado ao adicionar diretivas permissivas como 'unsafe-eval' ou 'wasm-unsafe-eval'
5. Mantenha sua instância do Discourse atualizada para se beneficiar das melhorias mais recentes de CSP