sésame Le code « manquant » est bien dans ma page html pourtant mais semble effectivement ne pas s’afficher sur la page. Neil a réglé le problème sur la page statique de leur côté mais ça continue à coincer. J’imagine que ça doit venir de mon CMS du coup ? Mais je sais pas d’où snif…
Alors en fait, le problème de Header dupliqué provenant de La Contre-Voie réglé par Neil ne suffit pas à résoudre le problème de la page statique non-plus. On voit bien une case à cocher de Altcha, mais celle-ci tourne à l’infini car elle n’arrive pas à aller chercher une ressource.
Et comme l’a dit FX, cité plus haut, le soucis provient de la CSP car on peut lire dans la console de débuggage du navigateur :
Content-Security-Policy : Les paramètres de la page ont empêché l’exécution d’un worker script (worker-src) à l’adresse blob:https://static.club1.fr/82507373-f8d8-4dee-960c-22c6fd15afdf car il enfreint la directive suivante : « script-src https: ‘unsafe-inline’ ‘unsafe-eval’ »
sésame Par contre j’ai pas bien compris, c’est quoi un CSP ?
Le lien que tu as trouvé de Mozilla est très bien, mais oui c’est assez compliqué au premier abord car très technique. Ce sont des règles que le serveur Web impose, sous forme d’une suite de limites à ce que le navigateur aura le droit de faire ou non. Nginx et Apache sont ceux qui fournissent la CSP par défaut de chaque contenu Web fourni par le serveur club1. Hors ils sont paramétrés pour fournir des règles assez strictes dans le but d’augmenter la sécurité des sites Web des membres.
Il est possible de contredire ces règles à l’échelle d’un dossier en créant un fichier .htaccess dans ledit dossier. On peut par exemple toutes les retirer en écrivant dedans :
Header set content-security-policy ""
Le soucis de faire ça, c’est que ça désactive toutes les sécurités de la CSP. On peut essayer d’être plus précis en désactivant seulement ce dont on a besoin. La documentation de Altcha est bien consciente du soucis causé par leurs tricks de Javascript :
https://altcha.org/docs/v2/widget-integration/#content-security-policy-csp
Ils recommandent d’appliquer les réglages suivants :
script-src 'self'; worker-src 'self' blob:
Sachant que la CSP par défaut de club1 est :
script-src https: 'unsafe-inline' 'unsafe-eval'; img-src https: data: blob:; object-src 'none'; frame-ancestors 'self'
On pourrait trouver une façon de les combiner pour arriver à un compromis, mais je suis pas très sûr de comment faire. Je fais la proposition suivante :
script-src https: 'unsafe-inline' 'unsafe-eval'; worker-src 'self' blob:; img-src https: data: blob:; object-src 'none'; frame-ancestors 'self'
Ce qui donnerait à écrire dans le fichier .htaccess :
Header set content-security-policy "script-src https: 'unsafe-inline' 'unsafe-eval'; worker-src 'self' blob:; img-src https: data: blob:; object-src 'none'; frame-ancestors 'self'"
Ça marche de mon côté ici : https://vincent.club1.fr/test/listmonk/