Content Security Policy

Introduzione

Content Security Policy (CSP) è uno standard di sicurezza informatica introdotto per prevenire il cross-site scripting (XSS), il clickjacking e altri attacchi di iniezione di codice derivanti dall’esecuzione di contenuti dannosi nel contesto attendibile di una pagina web.

Se utilizzi CSP sul tuo sito web, devi aggiungere una delle seguenti regole affinché Lime Connect funzioni.

Regola con caricamento dei caratteri

Utilizza questa regola CSP se desideri usare caratteri web personalizzati nel Website Messenger.

markdown
child-src 'self' api.userlike.com userlike-cdn-widgets.s3-eu-west-1.amazonaws.com userlike-cdn-widgets.userlike.com userlike-cdn-umm.b-cdn.net blob:;
connect-src wss://umd.userlike.com umd.userlike.com api.userlike.com userlike-cdn-web.b-cdn.net userlike-cdn-umm.b-cdn.net www.userlike.com blob: userlike-cdn-widgets.s3-eu-west-1.amazonaws.com userlike-store-media-files.s3.amazonaws.com;
font-src data: userlike-cdn-umm.b-cdn.net fonts.gstatic.com;
frame-src 'self' api.userlike.com userlike-cdn-widgets.s3-eu-west-1.amazonaws.com userlike-cdn-widgets.userlike.com userlike-cdn-umm.b-cdn.net www.youtube.com player.vimeo.com;
img-src data: userlike-cdn-operators.userlike.com userlike-cdn-operators.s3-eu-west-1.amazonaws.com userlike-cdn-operators.userlike.com userlike-cdn-web.b-cdn.net www.userlike.com userlike-store-media-files.s3.amazonaws.com i.ytimg.com blob:;
media-src userlike-cdn-umm.b-cdn.net userlike-store-media-files.s3.amazonaws.com www.userlike.com blob:;
object-src 'none';
script-src 'self' api.userlike.com userlike-cdn-widgets.s3-eu-west-1.amazonaws.com userlike-cdn-widgets.userlike.com userlike-cdn-umm.b-cdn.net 'wasm-unsafe-eval';
style-src 'unsafe-inline';

Regola senza caricamento dei caratteri

Utilizza questa regola CSP se desideri usare i caratteri di sistema nel Website Messenger.

markdown
child-src 'self' api.userlike.com userlike-cdn-widgets.s3-eu-west-1.amazonaws.com userlike-cdn-widgets.userlike.com userlike-cdn-umm.b-cdn.net blob:;
connect-src wss://umd.userlike.com umd.userlike.com api.userlike.com userlike-cdn-web.b-cdn.net userlike-cdn-umm.b-cdn.net www.userlike.com blob: userlike-cdn-widgets.s3-eu-west-1.amazonaws.com userlike-store-media-files.s3.amazonaws.com;
frame-src 'self' api.userlike.com userlike-cdn-widgets.s3-eu-west-1.amazonaws.com userlike-cdn-widgets.userlike.com userlike-cdn-umm.b-cdn.net www.youtube.com player.vimeo.com;
img-src data: userlike-cdn-operators.userlike.com userlike-cdn-operators.s3-eu-west-1.amazonaws.com userlike-cdn-operators.userlike.com userlike-cdn-web.b-cdn.net www.userlike.com userlike-store-media-files.s3.amazonaws.com i.ytimg.com blob:;
media-src userlike-cdn-umm.b-cdn.net userlike-store-media-files.s3.amazonaws.com www.userlike.com blob:;
object-src 'none';
script-src 'self' api.userlike.com userlike-cdn-widgets.s3-eu-west-1.amazonaws.com userlike-cdn-widgets.userlike.com userlike-cdn-umm.b-cdn.net 'wasm-unsafe-eval';
style-src 'unsafe-inline';

Utilizzare il nostro widget con una CSP rigorosa

Per funzionare correttamente, il nostro widget si basa su script e stili inline inseriti dinamicamente. Se applichi una Content Security Policy (CSP) rigorosa, ti consigliamo di utilizzare un nonce CSP: un token univoco e crittograficamente sicuro aggiunto a specifici script e stili inline.

Un nonce CSP garantisce che vengano eseguiti solo gli script e applicati solo gli stili con il token corrispondente, mentre tutti gli altri vengono bloccati.

👉 Scopri di più sui nonce CSP: https://content-security-policy.com/nonce/

Se il tuo sito utilizza nonce CSP, aggiungi il tuo nonce al tag script che carica Lime Connect tramite l’attributo nonce:

plain text
<script async type="text/javascript" src="https://userlike-cdn-widgets...." nonce="YOUR_NONCE"></script>

Se invece carichi il Website Messenger tramite la Messenger API, passa il tuo nonce quando richiami mount. 📘 Per le istruzioni di configurazione, consulta la nostra documentazione:

https://docs.lime-connect.com/developers/api/website-messenger

Esempio:

plain text
api.mount({ nonce: 'YOUR_NONCE' })

⚠️ Nota: A causa di limitazioni tecniche, le funzionalità di registrazione vocale e selezione delle emoji non sono disponibili quando si utilizza un nonce CSP.