Résultat
L'administrateur du site disposera des sources exactes de DobroDesk à ajouter à la politique existante et d'une méthode sûre pour vérifier la modification.
Vérifier si ce guide vous concerne
La Content Security Policy, généralement abrégée CSP, est un réglage de sécurité avancé du site qui limite les services externes qu'une page peut charger. La plupart des propriétaires de sites n'ont pas besoin de la modifier. Utilisez ce guide uniquement lorsque l'administrateur du site confirme qu'une CSP est active ou lorsque le navigateur indique que du contenu de dobrodesk.com a été bloqué.
Si vous gérez le contenu mais pas les en-têtes de sécurité du site, copiez les instructions d'installation DobroDesk et transmettez-les à la personne, à l'agence ou à l'hébergeur responsable du site. Ne remplacez ni ne supprimez la politique existante pour faire fonctionner le widget.
Une erreur CSP est différente d'une erreur d'Adresses du site. La CSP est contrôlée par le site. Adresses du site est la liste de sites de confiance enregistrée dans DobroDesk.
Copier les sources nécessaires depuis DobroDesk
Ouvrez l'administration DobroDesk, sélectionnez Canaux, puis ouvrez Widgets du site.
Sélectionnez le widget dans la liste, repérez Configuration d'intégration du widget et faites défiler jusqu'aux valeurs de Content Security Policy.
Copiez les valeurs affichées avec le code du widget. Envoyez les deux blocs et l'URL de la page publique à l'administrateur du site.
- script-src autorise le script chargeur de DobroDesk.
- frame-src autorise l'interface hébergée du widget.
- connect-src autorise le widget à demander sa configuration et à envoyer des messages.
- img-src autorise les images hébergées par DobroDesk et les images de données utilisées par l'interface.
Ajouter les sources à la politique existante
L'administrateur du site doit associer https://widget.dobrodesk.com et la source WebSocket affichée aux directives correspondantes déjà utilisées par le site. Il doit conserver toutes les sources de confiance existantes et ajouter DobroDesk à la même directive plutôt que de publier une seconde politique en conflit.
Repérez où la politique actuelle est administrée. Il peut s'agir d'un en-tête de réponse HTTP, d'un réglage de sécurité de l'hébergement, d'une règle du proxy inverse ou d'une balise meta HTML.
Ajoutez la source DobroDesk à chaque directive correspondante affichée dans l'Administration. Laissez les sources existantes du site inchangées.
Publiez la configuration de sécurité selon le processus normal de lancement du site.
Purgez tout cache de périphérie, d'hébergement ou de site qui conserve les en-têtes de réponse.
N'ajoutez ni unsafe-inline, ni caractère générique large, ni règle autorisant n'importe quel site. Ces modifications affectent tout le site et ne sont pas requises par les valeurs DobroDesk affichées dans l'Administration.
Vérifier la politique sur le site public
Ouvrez la vraie page publique dans une nouvelle fenêtre privée. Ne vous fiez pas uniquement à l'aperçu du constructeur de site.
Vérifiez que le bouton Contacter l'assistance apparaît et que le widget s'ouvre.
Envoyez un message de test et vérifiez qu'il arrive dans la boîte de réception DobroDesk sélectionnée. Un bouton visible ne prouve pas à lui seul que les requêtes réseau sont autorisées.
Si le widget reste bloqué, copiez l'erreur CSP exacte depuis la console du navigateur et transmettez-la à l'administrateur du site. La directive citée dans l'erreur indique quelle source manque encore.
Éviter les erreurs CSP courantes
- Ne supprimez pas la politique existante et ne la désactivez pas pour tous les visiteurs.
- Ne collez pas le texte de la CSP dans le champ de code du widget. La politique appartient aux réglages de sécurité du site.
- Ne modifiez pas uniquement script-src. Le widget peut apparaître mais échouer à s'ouvrir ou à envoyer si frame-src ou connect-src reste bloqué.
- Ne testez pas uniquement lorsque vous êtes connecté à l'administration du site. Utilisez l'URL publique dans une fenêtre privée.
- Ne confondez pas une différence d'Adresses du site entre www et la préproduction avec une CSP. Vérifiez les deux configurations lorsque le domaine change.