Oh! Ich habe völlig missverstanden, wie die HTML generiert werden würde. Wenn der Benutzer das HTML im Voraus generiert, könnten Sie es von einer externen Website per iframe einbetten lassen, wobei die Domain auf der Whitelist steht.
Zum Beispiel Codepen, was standardmäßig erlaubt sein sollte:
<iframe height="300" width="800" style="width: 100%;" scrolling="no" title="mplD3 example, actually working" src="https://codepen.io/gully/embed/BawMGr?default-tab=result" frameborder="no" loading="lazy" allowtransparency="true" allowfullscreen="true">
See the Pen <a href="https://codepen.io/gully/pen/BawMGr">
mplD3 example, actually working</a> by gully (<a href="https://codepen.io/gully">@gully</a>)
on <a href="https://codepen.io">CodePen</a>.
</iframe>