Discussion :

[grub_fr]

Bonjour à vous.

J'utilise Leaflet en local (téléchargé et utilisé sans CDN) pour afficher une carte OSM.
Cela fonctionne bien en local mais en prod... pas du tout.
Les messages d'erreur dans la console firefox st:

Content-Security-Policy : Les paramètres de la page ont empêché le chargement d’une ressource à data:image/svg+xml,%3csvg xmlns='http://… (« default-src »). contact
Content-Security-Policy : Les paramètres de la page ont empêché le chargement d’une ressource à https://tile.openstreetmap.org/13/2576/3670.png (« default-src »). TileLayer.js:169:18
Content-Security-Policy : Les paramètres de la page ont empêché le chargement d’une ressource à https://tile.openstreetmap.org/13/2577/3670.png (« default-src »). TileLayer.js:169:18
Content-Security-Policy : Les paramètres de la page ont empêché le chargement d’une ressource à https://tile.openstreetmap.org/13/2576/3671.png (« default-src »). TileLayer.js:169:18
Content-Security-Policy : Les paramètres de la page ont empêché le chargement d’une ressource à https://tile.openstreetmap.org/13/2577/3671.png (« default-src »). TileLayer.js:169:18
Content-Security-Policy : Les paramètres de la page ont empêché le chargement d’une ressource à data:image/svg+xml,%3csvg xmlns='http://… (« default-src »). page-style.js:731:36
Impossible de récupérer la source d’origine : request failed with status 404
URL de la source : https://sambano.freeboxos.fr/assets/src/dom/DomEvent.js

J'ai installé nelmio security bundle et définis ma CSP dans config/packages/nalmio_security.yaml comme suit:

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
nelmio_security:
    # prevents framing of the entire site
    clickjacking:
        paths:
            '^/.*': DENY
 
    # disables content type sniffing for script resources
    content_type:
        nosniff: true
 
    # forces Microsoft's XSS-Protection with
    # its block mode
    xss_protection:
        enabled: true
        mode_block: true
 
    # Send a full URL in the `Referer` header when performing a same-origin request,
    # only send the origin of the document to secure destination (HTTPS->HTTPS),
    # and send no header to a less secure destination (HTTPS->HTTP).
    # If `strict-origin-when-cross-origin` is not supported, use `no-referrer` policy,
    # no referrer information is sent along with requests.
    referrer_policy:
        enabled: true
        policies:
            - 'no-referrer'
            - 'strict-origin-when-cross-origin'
    csp:
        # report_uri: /nelmio/csp/report
        enabled: true
        report_logger_service: logger
        hosts: []
        content_types: []
        enforce:
            level1_fallback: true
            browser_adaptive:
                enabled: false
                # report-uri: '%router.request_context.base_url%/nelmio/csp/report'
            default-src:
                - 'self'
                #- 'https://*.tile.openstreetmap.fr'
                - 'https://tile.openstreetmap.org'
                - 'unsafe-inline'
            script-src:
                - 'self'
                - 'unsafe-inline'
            style-src:
                - 'self'
                - 'unsafe-inline'
            img-src:
                - 'self'
                - 'https://tile.openstreetmap.org'
                # - 'https://a.tile.openstreetmap.fr'
                # - 'https://b.tile.openstreetmap.fr'
                # - 'https://c.tile.openstreetmap.fr'
                - 'data:'
                - 'unsafe-inline'

mais le résultat est toujours le meme.
Je n'ai pas de CSP au niveau serveur que ce soit dans la conf d'apache ou au niveau du .htaccess.
les 6 CSP dans la console firefox sont des erreurs
et le dernier message est un warning que je ne comprends pas non plus car: "https://sambano.freeboxos.fr/assets/src/dom/DomEvent.js" n'existe pas.

Je ne sais pas quoi faire. Si vous avez des soluces a tester ou a proposer.
L'adresse ou le probleme est visible: https://sambano.freeboxos.fr/categor...videos/contact.

En vous remerciant,
grub

[grub_fr]

okay j'ai resolu, j'avais une directive CSP dans le fichier:
/etc/apache2/conf-available/custom.conf
2 jours sur cette mer...
pffff

a+ et bonne soirée.