csp et matomo

Le problème exposé dans ce sujet a été résolu.

Bonjour

Je cherche à configurer matomo avec mon site. mon site a le htaccess suivant :

Header set Content-Security-Policy "default-src 'self'; connect-src https://matomo.example.org; script-src 'self' 'nonce-matomo' https://matomo.example.org; img-src 'self' https://matomo.example.org; style-src 'self' 'unsafe-inline'; frame-ancestors 'self'; frame-src 'self' https://example.org/;"

J’ai ce message d’erreur :

Content-Security-Policy : Les paramètres de la page ont empêché l’exécution d’un script intégré (script-src-elem) car il enfreint la directive suivante : « script-src 'self' 'nonce-matomo' https://matomo.example.org 'unsafe-inline' »

Et impossibilité d’avoir le suivi matomo. Une idée pour corriger ?

+0 -0

Malheureusement j’ai toujours la même erreur :

Content-Security-Policy : Les paramètres de la page ont empêché l’exécution d’un script intégré (script-src-elem) car il enfreint la directive suivante : « script-src 'self' 'nonce-matomo' https://matomo.example.org https://cdn.matomo.cloud »

Et j’ai rien dans l’onglet réseau.

ÉDIT : j’ai rajouté ça : 'sha256-ySFwnbRK6rPVWqaxQQnslDcrGy2ZkRR8uXrNSYoIj1o=' comme indiqué dans la console Chromium (j’utilisais firefox). Je vais voir si ça change quelque chose, mais en tout cas, plus de message d’erreur.

+0 -0

Ah, donc c’est pas le chargement d’un script mais l’exécution (probablement du snippet, ~16 lignes de code à mettre dans le <head>) qui devait être bloqué.

En effet il faut ajouter le hash de ce code à la CSP pour autoriser son exécution. :)

Tu peux vérifier dans l’onglet réseau que tu as bien des appels à Matomo qui sont faits, et que les données remontent bien dans le dashboard

+0 -0

Ah, parce que tu as ajouté 'nonce-matomo' dans ta CSP, donc plutôt que d’autoriser tous les scripts du domaine tu autorises uniquement les scripts ayant le bon nonce (hash).

La documentation de Matomo a plutôt l’air de partir du principe que le domaine entier est autorisé, des fois que les script évoluerait d’une version à l’autre.

+0 -0
Connectez-vous pour pouvoir poster un message.
Connexion

Pas encore membre ?

Créez un compte en une minute pour profiter pleinement de toutes les fonctionnalités de Zeste de Savoir. Ici, tout est gratuit et sans publicité.
Créer un compte