Content Security Policy

Introduction

Content Security Policy (CSP) est une norme de sécurité informatique conçue pour prévenir le cross-site scripting (XSS), le détournement de clics (clickjacking) et d’autres attaques par injection de code résultant de l’exécution de contenu malveillant dans le contexte de confiance d’une page web.

Si vous utilisez une CSP sur votre site web, vous devez ajouter l’une des règles suivantes pour que Lime Connect fonctionne.

Règle avec chargement des polices

Utilisez cette règle CSP si vous souhaitez utiliser des polices web personnalisées dans le Website Messenger.

markdown
child-src 'self' api.userlike.com userlike-cdn-widgets.s3-eu-west-1.amazonaws.com userlike-cdn-widgets.userlike.com userlike-cdn-umm.b-cdn.net blob:;
connect-src wss://umd.userlike.com umd.userlike.com api.userlike.com userlike-cdn-web.b-cdn.net userlike-cdn-umm.b-cdn.net www.userlike.com blob: userlike-cdn-widgets.s3-eu-west-1.amazonaws.com userlike-store-media-files.s3.amazonaws.com;
font-src data: userlike-cdn-umm.b-cdn.net fonts.gstatic.com;
frame-src 'self' api.userlike.com userlike-cdn-widgets.s3-eu-west-1.amazonaws.com userlike-cdn-widgets.userlike.com userlike-cdn-umm.b-cdn.net www.youtube.com player.vimeo.com;
img-src data: userlike-cdn-operators.userlike.com userlike-cdn-operators.s3-eu-west-1.amazonaws.com userlike-cdn-operators.userlike.com userlike-cdn-web.b-cdn.net www.userlike.com userlike-store-media-files.s3.amazonaws.com i.ytimg.com blob:;
media-src userlike-cdn-umm.b-cdn.net userlike-store-media-files.s3.amazonaws.com www.userlike.com blob:;
object-src 'none';
script-src 'self' api.userlike.com userlike-cdn-widgets.s3-eu-west-1.amazonaws.com userlike-cdn-widgets.userlike.com userlike-cdn-umm.b-cdn.net 'wasm-unsafe-eval';
style-src 'unsafe-inline';

Règle sans chargement des polices

Utilisez cette règle CSP si vous souhaitez utiliser les polices système dans le Website Messenger.

markdown
child-src 'self' api.userlike.com userlike-cdn-widgets.s3-eu-west-1.amazonaws.com userlike-cdn-widgets.userlike.com userlike-cdn-umm.b-cdn.net blob:;
connect-src wss://umd.userlike.com umd.userlike.com api.userlike.com userlike-cdn-web.b-cdn.net userlike-cdn-umm.b-cdn.net www.userlike.com blob: userlike-cdn-widgets.s3-eu-west-1.amazonaws.com userlike-store-media-files.s3.amazonaws.com;
frame-src 'self' api.userlike.com userlike-cdn-widgets.s3-eu-west-1.amazonaws.com userlike-cdn-widgets.userlike.com userlike-cdn-umm.b-cdn.net www.youtube.com player.vimeo.com;
img-src data: userlike-cdn-operators.userlike.com userlike-cdn-operators.s3-eu-west-1.amazonaws.com userlike-cdn-operators.userlike.com userlike-cdn-web.b-cdn.net www.userlike.com userlike-store-media-files.s3.amazonaws.com i.ytimg.com blob:;
media-src userlike-cdn-umm.b-cdn.net userlike-store-media-files.s3.amazonaws.com www.userlike.com blob:;
object-src 'none';
script-src 'self' api.userlike.com userlike-cdn-widgets.s3-eu-west-1.amazonaws.com userlike-cdn-widgets.userlike.com userlike-cdn-umm.b-cdn.net 'wasm-unsafe-eval';
style-src 'unsafe-inline';

Utiliser notre widget avec une CSP stricte

Pour fonctionner correctement, notre widget s’appuie sur des scripts et des styles en ligne insérés dynamiquement. Si vous appliquez une Content Security Policy (CSP) stricte, nous vous recommandons d’utiliser un nonce CSP : un jeton unique et cryptographiquement sûr ajouté à des scripts et des styles en ligne spécifiques.

Un nonce CSP garantit que seuls les scripts et les styles possédant le jeton correspondant sont exécutés ou appliqués, tandis que tous les autres sont bloqués.

👉 En savoir plus sur les nonces CSP : https://content-security-policy.com/nonce/

Si votre site utilise des nonces CSP, ajoutez votre nonce à la balise script qui charge Lime Connect à l’aide de l’attribut nonce :

plain text
<script async type="text/javascript" src="https://userlike-cdn-widgets...." nonce="YOUR_NONCE"></script>

Si vous chargez le Website Messenger via la Messenger API, transmettez votre nonce lors de l’appel à mount. 📘 Pour les instructions de configuration, consultez notre documentation :

https://docs.lime-connect.com/developers/api/website-messenger

Exemple :

plain text
api.mount({ nonce: 'YOUR_NONCE' })

⚠️ Remarque : En raison de limitations techniques, les fonctionnalités d’enregistrement vocal et de sélection d’émojis ne sont pas disponibles lors de l’utilisation d’un nonce CSP.