Tenía un problema con un archivo Javascript aplicando Política de Seguridad de Contenido (CSP) y pude resolverlo gracias a esta respuesta de @Marcos en la pregunta Fallo en Política de Seguridad de Contenido (CSP).
Ahora me está bloqueando otro archivo, en este caso es un .php
que uso para gestionar una petición Ajax.
Me está dando estos tres errores en consola:
[Error] Origin https://midominio.com is not allowed by Access-Control-Allow-Origin.
[Error] XMLHttpRequest cannot load https://www.midominio.com/src/php/mi-action.php?mm=03&dd=10 due to access control checks.
[Error] Failed to load resource: Origin https://midominio.com is not allowed by Access-Control-Allow-Origin.
(mi-action.php line 0)
Este es mi código en el archivo .htaccess
:
<IfModule mod_headers.c>
Header set Content-Security-Policy "default-src 'none'; img-src 'self'; connect-src 'self' https://www.midominio.com/src/src/php/ https://www.google-analytics.com https://stats.g.doubleclick.net https://analytics.google.com; script-src 'self' 'unsafe-inline' https://www.midominio.com/src/src/js/ https://www.googletagmanager.com https://use.fontawesome.com https://cdn.polyfill.io https://code.jquery.com https://www.google-analytics.com https://demo.creativebulma.net; style-src 'self' 'unsafe-inline' https://www.midominio.com https://cdn.jsdelivr.net https://use.fontawesome.com; font-src 'self' 'unsafe-inline' https://use.fontawesome.com;"
</IfModule>
¿Cómo podría resolver este nuevo problema?
Access-Control-Allow-Origin
?.htaccess
, lo cual me pareció más sensato y más seguro. ¿Se puede aplicarAccess-Control-Allow-Origin
también en ese bloque? Tampoco entiendo por qué me bloquea un script que está en mi propio dominio.Header add Access-Control-Allow-Origin "https://tudominio.com" Header add Access-Control-Allow-Methods: "GET,POST,OPTIONS"
en el.htaccess
sigue sin funcionar?www.
no funciona.Access-Control-Allow-Origin
hace que tu dominio acepte peticiones dese un dominio en específico (o desde cualquiera si es que así lo prefieres), pero NO cuenta los subdominios, tienes que hacerHeader add Access-Control-Allow-Origin "https://www.tudominio.com" Header add Access-Control-Allow-Methods: "GET,POST,OPTIONS"