1

Tenía un problema con un archivo Javascript aplicando Política de Seguridad de Contenido (CSP) y pude resolverlo gracias a esta respuesta de @Marcos en la pregunta Fallo en Política de Seguridad de Contenido (CSP).

Ahora me está bloqueando otro archivo, en este caso es un .php que uso para gestionar una petición Ajax.

Me está dando estos tres errores en consola:

[Error] Origin https://midominio.com is not allowed by Access-Control-Allow-Origin. 
[Error] XMLHttpRequest cannot load https://www.midominio.com/src/php/mi-action.php?mm=03&dd=10 due to access control checks.  
[Error] Failed to load resource: Origin https://midominio.com is not allowed by Access-Control-Allow-Origin.
(mi-action.php line 0)

Este es mi código en el archivo .htaccess:

<IfModule mod_headers.c> 
Header set Content-Security-Policy "default-src 'none'; img-src 'self'; connect-src 'self' https://www.midominio.com/src/src/php/ https://www.google-analytics.com https://stats.g.doubleclick.net https://analytics.google.com; script-src 'self' 'unsafe-inline' https://www.midominio.com/src/src/js/ https://www.googletagmanager.com https://use.fontawesome.com https://cdn.polyfill.io https://code.jquery.com https://www.google-analytics.com https://demo.creativebulma.net; style-src 'self' 'unsafe-inline' https://www.midominio.com https://cdn.jsdelivr.net https://use.fontawesome.com; font-src 'self' 'unsafe-inline' https://use.fontawesome.com;"
</IfModule>

¿Cómo podría resolver este nuevo problema?

6
  • ¿Probaste con Access-Control-Allow-Origin?
    – Rodrigo
    Commented el 8 ene. 2021 a las 18:12
  • @anythingg estaba tratando de aplicar lo indicado aquí... ¿dónde debería probar? No tengo experiencia con esto, primero lo estaba haciendo en el HTML y Marcos me sugirió que lo haga desde .htaccess, lo cual me pareció más sensato y más seguro. ¿Se puede aplicar Access-Control-Allow-Origin también en ese bloque? Tampoco entiendo por qué me bloquea un script que está en mi propio dominio.
    – A. Cedano
    Commented el 8 ene. 2021 a las 18:15
  • ¿Si añades Header add Access-Control-Allow-Origin "https://tudominio.com" Header add Access-Control-Allow-Methods: "GET,POST,OPTIONS" en el .htaccess sigue sin funcionar?
    – Rodrigo
    Commented el 8 ene. 2021 a las 18:23
  • @anythingg correcto, funciona tal cual has sugerido, sin embargo, si pongo www. no funciona.
    – A. Cedano
    Commented el 8 ene. 2021 a las 18:32
  • En resumidas cuentas, Access-Control-Allow-Origin hace que tu dominio acepte peticiones dese un dominio en específico (o desde cualquiera si es que así lo prefieres), pero NO cuenta los subdominios, tienes que hacer Header add Access-Control-Allow-Origin "https://www.tudominio.com" Header add Access-Control-Allow-Methods: "GET,POST,OPTIONS"
    – Rodrigo
    Commented el 8 ene. 2021 a las 18:35

1 respuesta 1

2

Podes habilitarlo para:

  • Cualquier origen:

    Access-Control-Allow-Origin: *
    
  • Un origen específico:

    Access-Control-Allow-Origin: https://www.midominio.com/
    

Tu .htaccess podría quedar así:

Ejemplo:

<IfModule mod_headers.c> 
Header set Access-Control-Allow-Origin "https://www.midominio.com/"
Header set Content-Security-Policy "default-src 'none'; img-src 'self'; connect-src 'self' https://www.midominio.com/src/src/php/ https://www.google-analytics.com https://stats.g.doubleclick.net https://analytics.google.com; script-src 'self' 'unsafe-inline' https://www.midominio.com/src/src/js/ https://www.googletagmanager.com https://use.fontawesome.com https://cdn.polyfill.io https://code.jquery.com https://www.google-analytics.com https://demo.creativebulma.net; style-src 'self' 'unsafe-inline' https://www.midominio.com https://cdn.jsdelivr.net https://use.fontawesome.com; font-src 'self' 'unsafe-inline' https://use.fontawesome.com;"
</IfModule>
3
  • 1
    Ahora me funciona, pero sólo si quito www., poniéndolo con www. no funciona. Ha quedado así: Header set Access-Control-Allow-Origin "https://midominio.com/" y ahora me admite el script .php Intuí lo de www. por los errores 1 y 3 en la pregunta. No entiendo por qué admite las peticiones así, espero que no dé problemas más adelante.
    – A. Cedano
    Commented el 8 ene. 2021 a las 18:30
  • @A.Cedano deberías forzar todos los enlaces o con www. o sin www., en SEO los enlaces son distintos (salvo que utilices canonical), ya que se considera www.dominio.com un subdominio de dominio.com.
    – Marcos
    Commented el 8 ene. 2021 a las 18:46
  • me parece que eso ya lo había hecho, pero en el dominio principal. Deberé revisar porque este código realmente está en una sub-carpeta del dominio principal.
    – A. Cedano
    Commented el 8 ene. 2021 a las 18:57

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.