Zum Hauptinhalt springen

Content Security Policy (CSP)-Fehler in der Konsole

Zuletzt aktualisiert am 01. Juni 20261 Min. Lesezeit
Inhaltsverzeichnis

Was bedeutet Content Security Policy (CSP)?​

Websites können eine Content Security Policy (CSP) einrichten, indem sie entweder den HTTP-Response-Header Content-Security-Policy setzen oder ein Meta-Tag mit dem Attribut http-equiv="Content-Security-Policy" im HTML verwenden.

Anstatt automatisch allen Inhalten vom Server zu vertrauen, legt die CSP fest, welche Quellen als sicher gelten. Der Browser führt dann nur Skripte, Styles oder andere Ressourcen aus, die von diesen vertrauenswürdigen Quellen stammen.

Woran du den Fehler erkennst​

Du musst deine CSP aktualisieren, um Varify.io zu nutzen, wenn:

  1. Du in deiner Browser-Konsole einen Fehler wie diesen siehst:
  • This page uses security features that are incompatible with the varify.io editor.
  1. Du in den Google Developer Tools einen Fehler wie diesen siehst:
  • Refused to execute editor.varify.io because it violates the following Content Security Policy directive...
  1. Du einen Fehler wie diesen siehst:
  • Content Security Policy of your site blocks the use of 'eval' in JavaScript.

So behebst du den Fehler​

Wenn deine Website eine Content Security Policy (CSP) verwendet, trage bitte die folgenden Werte ein:

  • https://app.varify.io
  • https://editor.varify.io
  • https://ip.varify.dev (nur notwendig, wenn der IP-Dienst für Geotargeting verwendet wird)
  • https://ai-proxy.varify.io (nur notwendig, wenn KI-Dienste im Editor verwendet werden)

Außerdem benötigst du den Wert unsafe-eval in der script-src-Direktive.

Damit der Responsive Device Switcher funktioniert, muss deine Domain zusätzlich in den Direktiven frame-ancestors und frame-src angegeben werden.

Beispiel für eine geeignete CSP:

Content-Security-Policy: frame-ancestors {YOUR_DOMAIN}; frame-src {YOUR_DOMAIN} https://editor.varify.io; script-src 'unsafe-eval' https://app.varify.io https://editor.varify.io; connect-src https://ip.varify.dev

Hinweis: Der Eintrag unsafe-eval ist notwendig, damit benutzerdefiniertes JavaScript innerhalb von Variationen ausgeführt werden kann.

Auf dieser Seite