コンテンツセキュリティポリシーのヘッダー

Content-Security-Policy は、Web サイトでコンテンツを読み込むする方法と場所を制限することで、追加のセキュリティーを提供します。この参考記事では、Web SDK に必要なコンテンツセキュリティポリシーヘッダーについて説明します。

Nonce 属性

nonce 値を script-src または style-src ディレクティブで使用し、その値を contentSecurityNonce 初期化オプションに渡して、新たに作成されたスクリプトと SDK によって生成されたスタイルにそれを伝播する場合:

1
2
3
4
5
6
import * as braze from "@braze/web-sdk";

braze.initialize(apiKey, {
  baseUrl: baseUrl,
  contentSecurityNonce: "YOUR-NONCE-HERE", // assumes a "nonce-YOUR-NONCE-HERE" CSP value
});

指令

connect-src

script-src

img-src

Font Awesome

Font Awesome の自動組み込みを無効にするには、次のように doNotLoadFontAwesome 初期化オプションを使用します。

1
2
3
4
5
6
import * as braze from "@braze/web-sdk";

braze.initialize(apiKey, {
  baseUrl: baseUrl,
  doNotLoadFontAwesome: true,
});

Font Awesome を使用する場合は、次の CSP ディレクティブが必要です。

• font-src https://use.fontawesome.com
• style-src https://use.fontawesome.com
• style-src 'nonce-...' または style-src 'unsafe-inline'