Polityka bezpieczeństwa treści (CSP)
Witryny internetowe, które wdrażają Politykę bezpieczeństwa treści (CSP) na swojej stronie internetowej, powinny przestrzegać pewnych zasad, aby zapewnić, że: consentmanager Warstwa zgody nadal działa.
Zasady CSP
consentmanager Consent Layer będzie ładować zawartość za pośrednictwem różnych typów danych i mechanizmów, w zależności od ustawień i użycia kodu. Będzie również wywoływać skrypty na różne sposoby:
- System doda
<script src="...">elementy do strony - System doda
<script>...</script>elementy do strony - System doda
<style>...</style>elementy do strony - System doda
<link ...>elementy do strony - System doda
<img ...>elementy do strony - System doda
<iframe ...>elementy do strony - System będzie ładował zawartość za pomocą CORS (
window.XMLHttpRequest) - System będzie używał
<... onclick="..."> - System będzie używał
@font-faceaby załadować czcionki
System nigdy nie będzie używał:
- System nie będzie używał
eval() - System nie będzie używał
var x = new Function(....) - System nie będzie używał argumentów typu string dla
setTimeoutorsetInterval(na przykładsetTimeout("dosomething()")), zawsze będzie używać argumentów funkcji - System nie będzie używał
<a href="javascript:...">...</a>, zawsze będzie używaćonclick
Aby umożliwić powyższe, najłatwiejszym sposobem korzystania z CSP jest włączenie całego consentmanager domena dla wszystkich elementów:
Content-Security-Policy: default-src 'self' https://*.consentmanager.net;Uwaga: jeśli używasz domeny niestandardowej, musisz dodać tę domenę do białej listy u swojego dostawcy usług w chmurze.
Jeśli chcesz użyć bardziej restrykcyjnego dostawcy CSP, możesz użyć:
Content-Security-Policy: default-src 'self';
connect-src 'self' https://*.consentmanager.net;
frame-src 'self' https://*.consentmanager.net;
img-src 'self' https://*.consentmanager.net;
script-src 'self' https://*.consentmanager.net;
style-src 'self' https://*.consentmanager.net;
font-src 'self' https://*.consentmanager.net;Nonces i integralność skryptu
Ponieważ system doda inne skrypty, system nie wspiera dla atrybutów nonce i integralności.
