Hay otro sitio que informa errores de CSP relacionados con el endpoint /cdn-cgi/speculation: Refused to load the script 'site.com/cdn-cgi/speculation' because it violates the following Content Security Policy directive - #2 by simon. No tengo conocimiento de problemas similares que se hayan informado en el pasado. Quizás algo ha cambiado en Cloudflare o en Discourse 3.4.0.
El endpoint /cdn-cgi/speculation se agrega a los dominios registrados en Cloudflare cuando la función “Speed Brain” está habilitada. Speed Brain está diseñado para acelerar el rendimiento de un sitio web al permitir que Cloudflare pre-cargue contenido cuando un usuario pasa el cursor sobre un enlace. No estoy seguro de que esto sea compatible con Discourse.
Veo que la cabecera Speculation-Rules se devuelve con la respuesta cuando visito https://community.lezismore.org/login. Eso indica que la función Speed Brain está habilitada. Según la documentación de Cloudflare, parece que está habilitada por defecto.
¿Puedes intentar deshabilitar Speed Brain desde la pestaña Speed de tu panel de control de Cloudflare? Las instrucciones sobre cómo hacerlo están aquí: Speed Brain · Cloudflare Speed docs.
La sección “Caveats” de la documentación que enlacé dice:
- Speed Brain no funcionará con configuraciones restrictivas de Content Security Policy
que utilicen atributos
strict-dynamicononce-{hash}.
Si Speed Brain es compatible con Discourse, tendremos que averiguar cómo agregarlo a las reglas de Content Security.