Erreur directive de Content Security Policy

[jpty]

C pas Ca ne doit juste plus passer par le même chemin chez openstreetmap fr
Il faudrait essayer avec le html fourni au dessus et voir si chez vous en modifiant apache_security, ça corrige ou s’il y a d’autres erreurs de CSP

[tomitomas]

Moi je suis en non securisé, alors tout fonctionne

[manu68]

ok je comprend… et oui j’ai bien appliqué les changement proposés. Je l’avais déjà fait et ça avait fonctionné et là plus.

[manu68]

@jpty

<Directory /var/www/html>
Options -Indexes -ExecCGI -FollowSymLinks
AllowOverride All
</Directory>

<IfModule mod_headers.c>
Header set X-Content-Type-Options "nosniff"
Header set X-Frame-Options "sameorigin"
Header set X-XSS-Protection "1; mode=block"
Header unset X-Powered-By
Header set Referrer-Policy: strict-origin-when-cross-origin
Header set Permissions-Policy "accelerometer=(),battery=(),fullscreen=(self),geolocation=(),camera=(),ambient-light-sensor=(self),autoplay=(self)"
Header set Content-Security-Policy "default-src 'self' file: data: blob: filesystem:;script-src-attr 'self' 'unsafe-inline' 'unsafe-eval' *.google.com *.google.fr *.googleapis.com;script-src 'self' 'unsafe-inline' 'unsafe-eval' *.google.com *.google.fr;script-src-elem 'self' 'unsafe-inline' 'unsafe-eval' *.google.com *.google.fr;img-src 'self' *.jeedom.com *.google.com *.google.fr *.googleapis.com *.openstreetmap.fr https://tile.openstreetmap.org *.tile.openstreetmap.fr data:;style-src 'self' 'unsafe-inline';style-src-attr 'self' 'unsafe-inline';worker-src blob:;frame-src 'self' *.jeedom.com *.google.com *.google.fr *.googleapis.com data:;"
</IfModule>

Merci effectivement c’était la bonne piste…

Sauvé

Merci à tous.

[jpty]

Je confirme qu’actuellement ça passe par un chemin différent.

Le navigateur demande l’image.
Le serveur en face répond qu’il l’a trouvé ( 302 ) et qu’elle est disponible sur https://tile.openstreetmap.org et il s’excuse pour cela.

Le navigateur fait alors une autre requête qui peut conduire au CSP si openstreetmap.org n’est pas autorisé.

Reste à faire une PR sur le core. → Fait
PS: Ajouter *.openstreetmap.org suffit. Je corrige mon post au dessus avec la vraie solution.

[tomitomas]

merci pour l’analyse et la PR !