Deja pasar el script por tu política de seguridad de contenido

01Cómo se ve

La consola del navegador dice que se negó a cargar el script, o a conectarse a /api/event, porque infringe la política de seguridad de contenido (Content Security Policy) de la página. La comprobación en directo sigue esperando.

02Qué permitir

Permite la dirección del script en script-src, y la misma dirección en connect-src, adonde van sus eventos. Añade https://t.tallybyoutpost.com a las listas que ya tienes; no las sustituyas:

Content-Security-Policy: script-src 'self' https://t.tallybyoutpost.com; connect-src 'self' https://t.tallybyoutpost.com

<meta http-equiv="Content-Security-Policy" content="script-src 'self' https://t.tallybyoutpost.com; connect-src 'self' https://t.tallybyoutpost.com">

// next.config.js: add the address to the policy you already send.
const policy = [
  "script-src 'self' https://t.tallybyoutpost.com",
  "connect-src 'self' https://t.tallybyoutpost.com",
].join('; ');

module.exports = {
  async headers() {
    return [{ source: '/(.*)', headers: [{ key: 'Content-Security-Policy', value: policy }] }];
  },
};

El script no necesita nada más: ni código en línea, ni eval, ni estilos, ni frames.

03A través de tu propio dominio

Cuando sirves el script desde tu dominio, el script y sus eventos están en tu propia dirección, que 'self' ya permite.

04Comprueba que funciona