Vložený obsah a Content-Security-Policy
Pokud se na stránce nezobrazí externí video, mapa nebo jiná služba, příčinou může být bezpečnostní pravidlo Content-Security-Policy (CSP). CSP určuje povolené zdroje pro různé druhy obsahu. Není však jedinou možnou příčinou nefunkční integrace.
Než začnete
Redaktor může ověřit vloženou adresu a předat podklady podpoře. Změnu bezpečnostních pravidel má provádět správce, který zná zapojení služby a dopad na celý web. Nastavení je dostupné pouze v projektech s odpovídající konfigurací a oprávněním.
Kontrola pro redaktora
- Ověřte, že jste vložili správnou adresu nebo kód ve formátu požadovaném daným blokem.
- Uložte změnu a ověřte ji v náhledu; po publikaci zkontrolujte také veřejnou stránku.
- Otevřete cílový obsah přímo u poskytovatele. Pokud není dostupný ani tam, samotná úprava CSP nepomůže.
- Pokud služba používá souhlas s cookies, ověřte její chování podle nastavení souhlasů projektu.
- Podpoře předejte adresu stránky, službu, vloženou URL a snímek chybového stavu. Pokud máte k dispozici chybu z konzole prohlížeče, přiložte také její přesné znění.
Jak správce rozliší blokování CSP
V konzoli prohlížeče bývá u blokace uvedená odmítnutá adresa a porušená direktiva. Zpráva o Report-Only znamená hlášení porušení testované politiky; sama o sobě ještě neprokazuje, že právě tato politika načtení zablokovala.
Tabulka – širší obsah posuňte do stran
| Direktiva | Typický význam |
|---|---|
script-src | Načítání skriptů |
img-src | Načítání obrázků |
style-src | Načítání stylů |
connect-src | Síťová spojení aplikace, například volání API |
frame-src | Stránky, které web smí vložit do rámce |
frame-ancestors | Stránky, které smějí do rámce vložit tento web |
frame-src a frame-ancestors nejsou zaměnitelné. Externí služba může vložení odmítat i vlastními pravidly; jejich změnu nelze provést v nastavení Olive.
Nastavení pro správce
V Configuration → SEO zvolte výchozí konfiguraci nebo konfiguraci příslušné domény. V části Security Policies jsou pole Content-Security-Policy a Content-Security-Policy-Report-Only. Dostupné názvy položek mohou být přeložené.
- Zjistěte, která konfigurace se vztahuje na problémovou doménu.
- Z chybové zprávy a dokumentace poskytovatele určete potřebné zdroje.
- Upravte pouze odpovídající pravidla. Nepovolujte plošně všechny domény jako náhradu diagnostiky.
- Uložte změnu a proveďte provozní kroky potřebné pro konkrétní projekt.
- Ověřte skutečné HTTP hlavičky veřejné stránky a funkčnost služby. Samotný obsah formuláře neprokazuje, kterou politiku návštěvník obdržel.
Když problém trvá
Zkontrolujte také nepovolené vložení na straně služby, neplatnou adresu, přihlášení ke službě a případné další bezpečnostní hlavičky. Pro změny platné jen pro část projektu navazuje vícedoménová konfigurace.