CSP-Einstellungen für Quantcast

Question

Ich bin auf meiner Website das Quantcast-Skript zur Verfolgung von Zielgruppen integriert. Wenn die Seite im Browser geladen wird, erhalte ich den Fehler unten. Ich weiß, dass es sich um ein Skript handelt, das als base64 codiert ist, aber wie kann ich es mithilfe der CSP- und CORS-Header ausführen?

Refused das Skript zu laden 'Daten: application/javascript; base64, ZnVuY3Rpb24gcXVhbnRzZXJ2ZSgpe30 =' , weil es verletzt die folgenden Content Security Policy Richtlinie: „Skript-src 'self' 'unsicher-inline'‚unsicher -eval '* .cloudflare.com * .quantserve.com ".

Hier ist mein Header:

headers { 
    contentSecurityPolicy = "default-src 'self' *.cloudflare.com *.quantserve.com;" 
    contentSecurityPolicy = ${play.filters.headers.contentSecurityPolicy}" img-src 'self' *.fbcdn.net *.twimg.com *.googleusercontent.com *.xingassets.com *.vk.com *.yimg.com secure.gravatar.com *.stuffpoint.com *.pixabay.com;" 
    contentSecurityPolicy = ${play.filters.headers.contentSecurityPolicy}" style-src 'self' 'unsafe-inline' cdnjs.cloudflare.com maxcdn.bootstrapcdn.com cdn.jsdelivr.net fonts.googleapis.com edge.quantserve.com;;" 
    contentSecurityPolicy = ${play.filters.headers.contentSecurityPolicy}" font-src 'self' fonts.gstatic.com fonts.googleapis.com cdnjs.cloudflare.com;" 
    contentSecurityPolicy = ${play.filters.headers.contentSecurityPolicy}" script-src 'self' 'unsafe-inline' 'unsafe-eval' *.cloudflare.com *.quantserve.com;" 
    contentSecurityPolicy = ${play.filters.headers.contentSecurityPolicy}" connect-src 'self' twitter.com *.xing.com;" 
    contentSecurityPolicy = ${play.filters.headers.contentSecurityPolicy}" frame-src 'self' 'unsafe-inline' 'unsafe-eval' edge.quantserve.com;" 
} 

Answer 1

hinzufügen data: zur script-src Linie.

contentSecurityPolicy = ${play.filters.headers.contentSecurityPolicy}" script-src 'self' 'unsafe-inline' 'unsafe-eval' data: *.cloudflare.com *.quantserve.com;" 

Hinweis: Diese Regel einige Auswirkungen auf die Sicherheit hat, aber Ihre script-src ist so freizügig, dass es ziemlich viel keinen Schutz ohnehin bietet.