Заголовок ответа CSP приводит к тому, что firefox прерывает загрузку сайта

Только в Firefox (недавнем и старом) на мой веб-сайт отвечает код состояния 200, но Firefox просто прерывается без каких-либо сообщений об ошибках. Журналы сервера также не показывают проблемы. Проходя через настройки, я прикрепил его к заголовку CSP.

Кто-то видит, чего мне не хватает?

add_header Content-Security-Policy "default-src 'self';
        script-src 'self' data: 'unsafe-inline' 'unsafe-eval' *.$server_name *.google-analytics.com *.googletagmanager.com *.google.com *.googleapis.com *.videopress.com;
        style-src 'self' 'unsafe-inline' *.$server_name *.googleapis.com *.google.com *.bootstrapcdn.com *.jquery.com;
        img-src 'self' data: *.$server_name *.google.com *.google-analytics.com *.gstatic.com *.googleapis.com *.initiative-s.de *.gravatar.com *.w.org *.creativecommons.org  *.jquery.com;
        font-src 'self' data: *.$server_name *.gstatic.com *.bootstrapcdn.com;
        connect-src 'self' *.$server_name *.googletagmanager.com;
        media-src 'self' *.$server_name *.w.org *.videopress.com;
        object-src 'none';
        child-src 'self' *.googletagmanager.com maps.google.com pastebin.com *.videopress.com;
        form-action 'self';
        upgrade-insecure-requests;
        reflected-xss block;
        referrer no-referrer";

Кстати... если вам интересно, для чего *. $ Server_name. Это переменная nginx, которая позволяет мне занести в белый список все субдомены.

Большое спасибо, Майк

1 ответ

Есть 2 способа понять, какая директива блокирует какой URL:

  1. Проверьте ваш журнал консоли Firefox, когда вы посещаете свой сайт. Любое нарушение CSP будет перечислено там
  2. Добавьте директиву report-uri, чтобы браузер мог отправлять отчеты CSP куда-либо. Я рекомендую бесплатный сервис https://report-uri.io/
Другие вопросы по тегам