コンテンツセキュリティポリシーのヘッダー

Content-Security-Policyは、Webサイトでコンテンツを読み込む方法と場所を制限することで、追加のセキュリティを提供します。この参考記事では、Web SDKに必要なコンテンツセキュリティポリシーヘッダーについて説明します。

Nonce属性

script-srcまたはstyle-srcディレクティブでnonce値を使用する場合、その値をcontentSecurityNonce初期化オプションに渡して、SDKによって新たに作成されるスクリプトやスタイルに伝播させます。

1
2
3
4
5
6
import * as braze from "@braze/web-sdk";

braze.initialize(apiKey, {
  baseUrl: baseUrl,
  contentSecurityNonce: "YOUR-NONCE-HERE", // assumes a "nonce-YOUR-NONCE-HERE" CSP value
});

ディレクティブ

connect-src

script-src

img-src

Font Awesome

Font Awesomeの自動組み込みを無効にするには、doNotLoadFontAwesome初期化オプションを使用します。

1
2
3
4
5
6
import * as braze from "@braze/web-sdk";

braze.initialize(apiKey, {
  baseUrl: baseUrl,
  doNotLoadFontAwesome: true,
});

Font Awesomeを使用する場合は、次のCSPディレクティブが必要です。

• font-src https://use.fontawesome.com
• style-src https://use.fontawesome.com
• style-src 'nonce-...'またはstyle-src 'unsafe-inline'