0

Tengo unas URL externas que cargan imágenes, estilos etc en mi web.

Este es un trozo de lo que tengo en .htaccess:

<IfModule mod_headers.c>
    Header set Access-Control-Allow-Origin "https://www.midominio.com"
    Header set Content-Security-Policy "default-src 'none';
    script-src 
      'self' 
      'unsafe-inline' 
      https://www.googletagmanager.com 
      https://use.fontawesome.com 
      https://cdn.polyfill.io 
      https://code.jquery.com 
      *.google-analytics.com 
      *.analytics.google.com 
      *.cse.google.com 
      *.google.com; 
      # ... etc 
</IfModule>

Hay un script que se carga desde esta URL: www.google.com/cse/...... y ese script tiene elementos variables. Para no dar acceso a todo google (como hago en la última directiva) he intentando quitar: *.google.com y poner *.google.com/cse, pero en ese caso no funciona, me deniega la carga del script.

¿Existe alguna forma de dar permiso a una URL que incluya /carpeta? ¿Por qué en ese caso no funciona *.?

He intentado así y tampoco funciona: *.google.com/cse/.* y también *.google.com/cse/*.*

9
  • ¿La directiva script-src es de algún módulo de Apache? No me suena, ¿podrías enlazar a su documentación? Me suena más a la cabecera HTTP default-src, ¿me equivoco? Commented el 20 oct. 2022 a las 13:11
  • Creo que es debido a que una mezcla entre comodines en el nombre del equipo y en la URL no es válido: w3c.github.io/webappsec-csp/#framework-directive-source-list . Redactando respuesta. Commented el 20 oct. 2022 a las 13:14
  • @OscarGarcia sí, lo tengo en el .htaccess, dentro de <IfModule mod_headers.c></IfModule>.
    – A. Cedano
    Commented el 20 oct. 2022 a las 13:46
  • 1
    Yo diría que es porque se produce una redirección dehttps://google.com/cse a https://cse.google.com y la URL final queda así https://cse.google.com/cse... Commented el 20 oct. 2022 a las 13:51
  • O incluso si no es esa la redirección, posiblemente haya una redirección. Toca seguirle la pista a los requests pa cargar ese recurso....
    – Alfabravo
    Commented el 20 oct. 2022 a las 13:53

0

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

Examina otras preguntas con la etiqueta o formula tu propia pregunta.