Laisser passer le script dans votre politique de sécurité du contenu

01À quoi cela ressemble

La console du navigateur indique qu’elle a refusé de charger le script, ou de se connecter à /api/event, parce que cela enfreint la politique de sécurité du contenu (CSP) de la page. La vérification en direct reste en attente.

02Ce qu’il faut autoriser

Autorisez l’adresse du script dans script-src, et la même adresse dans connect-src, où vont ses événements. Ajoutez https://t.tallybyoutpost.com aux listes que vous avez déjà ; ne les remplacez pas :

Content-Security-Policy: script-src 'self' https://t.tallybyoutpost.com; connect-src 'self' https://t.tallybyoutpost.com

<meta http-equiv="Content-Security-Policy" content="script-src 'self' https://t.tallybyoutpost.com; connect-src 'self' https://t.tallybyoutpost.com">

// next.config.js: add the address to the policy you already send.
const policy = [
  "script-src 'self' https://t.tallybyoutpost.com",
  "connect-src 'self' https://t.tallybyoutpost.com",
].join('; ');

module.exports = {
  async headers() {
    return [{ source: '/(.*)', headers: [{ key: 'Content-Security-Policy', value: policy }] }];
  },
};

Le script n’a besoin de rien d’autre : ni code inline, ni eval, ni styles, ni frames.

03Par votre propre domaine

Quand vous servez le script depuis votre domaine, le script et ses événements sont sur votre propre adresse, que 'self' autorise déjà.

04Vérifier que ça marche