Cómo añadir scripts de análisis y píxel evitando la política de seguridad de contenido (XSS)

Buenos días:

He intentado añadir el script de Facebook Pixel y la analítica de Posthog a mi sitio con un componente personalizado y editando el html del tema predeterminado.

Estos no funcionan debido a la Política de Seguridad de Contenido (CSP). Incluso intenté hashear el script con sha256, pero obtengo este error al añadirlo a “content security policy script src”:

También he leído este tema: Mitigate XSS Attacks with Content Security Policy

¿Cómo puedo evitar la CSP en scripts específicos?

¡Gracias!

1 me gusta

Incluso he deshabilitado la directiva Content Security Policy y he añadido unsafe-eval a los scripts src, pero todavía no funciona.

Aquí está mi componente personalizado (en el head):

Recientemente agregué PostHog a varios sitios y no necesité cambiar ninguna configuración de CSP. (No he probado Facebook Pixel. Podría ser útil agregar una cosa a la vez). Mi técnica fue usar un Componente de Tema:

Esa es una fuerte señal de que la CSP no es el problema.

Intenta comenzar solo con PostHog al principio y ve si funciona. Si lo hace, prueba solo con Meta Pixel.

Por si sirve de algo, la barra de herramientas de PostHog no funciona directamente con Discourse. Ver:

1 me gusta