Aller au contenu principal

Erreur de Content Security Policy (CSP) dans la console

Dernière mise à jour le 01 juin 20261 min de lecture
Table des matières

Que signifie Content Security Policy (CSP) ?​

Les sites web peuvent mettre en place une Content Security Policy (CSP) soit en définissant l'en-tête de réponse HTTP Content-Security-Policy, soit en utilisant une balise meta avec l'attribut http-equiv="Content-Security-Policy" dans le HTML.

Plutôt que de faire automatiquement confiance à tout le contenu provenant du serveur, la CSP détermine quelles sources sont considérées comme sûres. Le navigateur n'exécute alors que les scripts, styles ou autres ressources provenant de ces sources fiables.

Comment reconnaître l'erreur​

Tu dois mettre à jour ta CSP pour utiliser Varify.io si :

  1. Tu vois une erreur comme celle-ci dans la console de ton navigateur :
  • This page uses security features that are incompatible with the varify.io editor.
  1. Tu vois une erreur comme celle-ci dans les Google Developer Tools :
  • Refused to execute editor.varify.io because it violates the following Content Security Policy directive...
  1. Tu vois une erreur comme celle-ci :
  • Content Security Policy of your site blocks the use of 'eval' in JavaScript.

Comment corriger l'erreur​

Si ton site utilise une Content Security Policy (CSP), merci de saisir les valeurs suivantes :

  • https://app.varify.io
  • https://editor.varify.io
  • https://ip.varify.dev (nécessaire uniquement si le service IP est utilisé pour le géociblage)
  • https://ai-proxy.varify.io (nécessaire uniquement si des services d'IA sont utilisés dans l'éditeur)

Tu as également besoin de la valeur unsafe-eval dans la directive script-src.

Pour que le Responsive Device Switcher fonctionne, ton domaine doit également être spécifié dans les directives frame-ancestors et frame-src.

Exemple de CSP appropriée :

Content-Security-Policy: frame-ancestors {YOUR_DOMAIN}; frame-src {YOUR_DOMAIN} https://editor.varify.io; script-src 'unsafe-eval' https://app.varify.io https://editor.varify.io; connect-src https://ip.varify.dev

Remarque : l'entrée unsafe-eval est nécessaire pour que le JavaScript défini par l'utilisateur puisse être exécuté dans les variations.

Sur cette page