Je trouve que le règles strictes de la CSP peuvent être utiles pour des personnes qui débutent sur le Web en fournissant un « garde-fou ». Les iframes c’est quand même un sacré délire, et on imagine pas forcément, quand on code ça petite page HTML au calme, que n’importe qui puisse l’intégrer dans la sienne ! Mais ça me semblerait logique que ça puisse être désactivé si l’on sait ce que l’on fait.
Par exemple, si ça pouvait être désactivé par le fichier .htaccess, je trouverai ça pas mal comme logique. (nécessitant une action de la part de le·a membre, mais sans avoir besoin de contacter les Webmestres)
Mais bon j’imagine qu’actuellement, c’est Nginx qui le rajoute, d’où le fait qu’on ne puisse pas intervenir avec le fichier .htaccess (qui influe seulement sur Apache).
Peut-être qu’on pourrait dire à Nginx de ne pas ajouter de header si celui-ci est déjà présent ? (un peu comme le setifempty de Apache)
Doc MDN: Content-Security-Policy: frame-ancestors
Et sinon, si c’est trop compliqué à mettre en place, ça ne me choquerait pas d’assouplir la CSP concernant les iframes. Même si assouplir, ça veut dire désactiver. Car j’ai du mal à voir quelle granularité on a. De ce que j’ai compris, on peut soit mettre none (tout autoriser), soit self pour limiter au même domaine, soit mettre une liste d’URL. Donc ça me semble une galère de fonctionner par serveur, vu que les noms de domaines sont variés et indépendant de CLUB1.