Comment ajouter des scripts d'analyse et Pixel en évitant la Content Security Policy (XSS)

Bonjour,

J’ai essayé d’ajouter le script Facebook Pixel et l’analyse Posthog à mon site avec un composant personnalisé et en modifiant le HTML du thème par défaut.

Ceux-ci ne fonctionnent pas à cause de la Content Security Policy. J’ai même essayé de hacher le script avec sha256, mais j’obtiens cette erreur lorsque je l’ajoute à « content security policy script src » :

J’ai également lu ce sujet : Mitigate XSS Attacks with Content Security Policy

Comment puis-je éviter la CSP sur des scripts spécifiques ?

Merci !

1 « J'aime »

J’ai même désactivé la politique de sécurité du contenu et ajouté « unsafe-eval » aux scripts src, mais cela ne fonctionne toujours pas.

Voici mon composant personnalisé (dans la tête) :

J’ai récemment ajouté PostHog à plusieurs sites et je n’ai pas eu besoin de modifier les paramètres CSP. (Je n’ai pas essayé Facebook Pixel. Il pourrait être utile d’ajouter une chose à la fois.) Ma technique a été d’utiliser un composant de thème :

C’est un signal fort que la CSP n’est pas le problème.

Essayez de commencer uniquement avec PostHog au début et voyez si cela fonctionne. Si c’est le cas, essayez uniquement Meta Pixel.

Pour information, la barre d’outils PostHog ne fonctionne pas immédiatement avec Discourse. Voir :

1 « J'aime »