Druckbare Version
Hallo,
ich versuche mich gerade am Content-Secuirty-Policy-Header:
Meiner Meinung nach sollten so alle Inhalte erlaubt sein, die von der gleichen Domain stammen. Er lädt so zwar die Haupt-CSS-Datei und auch die Bilder, aber CSS/JS-Dateien von Modulen werden ignoriert (konkret z.B. Flex Slider, Superfish und MobileMenu)Code:<meta http-equiv="Content-Security-Policy" content="default-src 'self';">
Jemand eine Idee, was hier das Problem sein kann?
Poste einen Link zur Seite.
Generell wird CSP in Contao nicht einfach ohne Anpassung funktionieren, denn du musst alle inline JavaScript und CSS Scripte entfernen.
Darf ich Dir diesen per PN schicken?
Ich muss hier nochmal nachhaken: Wenn ich die Anweisung in der htaccess in Contao 4.8 eintrage
werden nur Bilder und JS geladen, die sich im "assets" ordner befinden. Ich habe auch auch Bilder direkt aus "files/..." eingebunden, diese werden nicht angezeigt. Woran liegt denn das? hat jemand eine Ahnung?Code:Header always set Content-Security-Policy "default-src 'self';"
Grüße und danke
Unter Contao 4.8 werden Bilder erst erzeugt, wenn sie angefordert werden. Das heißt der erste Request auf ein Bild in Assets wird über PHP verarbeitet. Dadurch greift dann deine Server Konfiguration nicht mehr.
Hey Spooky,
danke für deine Antwort. Allerdings geht das über meinen technischen Stand hinaus.
Was heißt das für mich genau? Ist die CSP damit nicht für meinen "files/" Ordner möglich?
Ein Kunden hat seine Seite auf https://observatory.mozilla.org getestet und dabei das entdeckt. Kann ich das irgendwie einstellen?
Ok, man muss wohl einfach Doku lesen. Man muss die einzelnen Sourcetypen auch definieren. Vielleicht hilft es jemand.
https://wiki.selfhtml.org/wiki/Siche....B6glichkeiten
Code:Header set Content-Security-Policy "default-src 'self'; img-src 'self' data:; script-src 'self' https://*.contao.org https://*.jquery.com; font-src 'self' https://fonts.gstatic.com https://fonts.googleapis.com; style-src 'self' https://fonts.googleapis.com; form-action 'self';"