Questão CORS com Blogspot incorporado

[DonH]

Depois de ver nosso blog Ghost recém-incorporado (mesmo domínio), um de nossos membros perguntou se era possível fazer o mesmo com o dele no Blogspot. Tentei, mas só consegui chegar até aqui:

Hosts permitidos são:

O script incorporado é:

<script type="text/javascript">
DiscourseEmbed = { discourseUrl: 'https://forum.rosehybridizers.org/',
                 discourseEmbedUrl: '{{url absolute="true"}}' };
(with and without discourseReferrerPolicy: 'strict-origin-when-cross-origin'};)

(function() {
var d = document.createElement('script'); d.type = 'text/javascript'; d.async = true;
d.src = DiscourseEmbed.discourseUrl + 'javascripts/embed.js';
(document.getElementsByTagName('head')[0] || document.getElementsByTagName('body')[0]).appendChild(d);
</script>

CORS está habilitado através do App.yml:

DISCOURSE_ENABLE_CORS: true

Também tentei com

DISCOURSE_CORS_ORIGIN: ‘*’

seguido por app destroy/start a cada vez.

A origem permitida é:

Essas configurações estão ambas marcadas:

Habilitar Content-Security-Policy
e
Restringir quem pode incorporar este site em iframes via CSP.

O console Jscript diz:

Qualquer ajuda seria muito apreciada.

[Falco]

@DonH

discourseEmbedUrl: '{{url absolute="true"}}' };

Isso está errado, pois o {{url absolute="true"}} não é substituído antes que o código seja executado.

Além disso, você pode querer limitar o código que carrega os comentários do Discourse apenas às páginas de artigos e não à página inicial.