Da wir bereits streng sind, welche Domains in iframes verwendet werden dürfen, ist eine weitere Einstellung, bei der wir den allow-String für jeden iframe festlegen und das seltsame allow-Inhaltsformat parsen, für mich etwas zu viel.
Ich habe einen PR erstellt, der einfach alles im allow-Attribut für bereits erlaubte iframes zulässt: