Política de seguridad de contenido (CSP)
Los sitios web que implementan una Política de seguridad de contenido (CSP) en su sitio web deben seguir algunas reglas para garantizar que consentmanager La capa de consentimiento continúa funcionando.
Reglas de CSP
La consentmanager La capa de consentimiento cargará el contenido mediante diversos tipos de datos y mecanismos, según la configuración y el uso del código. También llamará a los scripts de diversas maneras:
- El sistema agregará
<script src="...">elementos a la página - El sistema agregará
<script>...</script>elementos a la página - El sistema agregará
<style>...</style>elementos a la página - El sistema agregará
<link ...>elementos a la página - El sistema agregará
<img ...>elementos a la página - El sistema agregará
<iframe ...>elementos a la página - El sistema cargará contenido utilizando CORS (
window.XMLHttpRequest) - El sistema utilizará
<... onclick="..."> - El sistema utilizará
@font-facepara cargar fuentes
El sistema nunca utilizará:
- El sistema no utilizará
eval() - El sistema no utilizará
var x = new Function(....) - El sistema no utilizará argumentos de cadena para
setTimeoutorsetInterval(p.ejsetTimeout("dosomething()")), siempre utilizará argumentos de función - El sistema no utilizará
<a href="javascript:...">...</a>, siempre se usaráonclick
Para permitir lo anterior, la forma más fácil de usar un CSP es habilitar todo el consentmanager dominio para todos los elementos:
Content-Security-Policy: default-src 'self' https://*.consentmanager.net;Nota: Si está utilizando un dominio personalizado, deberá incluir este dominio en la lista blanca de su CSP.
Si desea utilizar un CSP más restrictivo, puede utilizar:
Content-Security-Policy: default-src 'self';
connect-src 'self' https://*.consentmanager.net;
frame-src 'self' https://*.consentmanager.net;
img-src 'self' https://*.consentmanager.net;
script-src 'self' https://*.consentmanager.net;
style-src 'self' https://*.consentmanager.net;
font-src 'self' https://*.consentmanager.net;Nonces e integridad de scripts
Dado que el sistema agregará otros scripts, el sistema no soporta para atributos de nonce e integridad.
