Directives de liste blanche

La politique de sécurité du contenu (CSP) est un mécanisme de sécurité du navigateur qui contrôle quelles sources externes — scripts, polices, feuilles de style et connexions API — sont autorisées à se charger sur votre page web. Si votre site possède un CSP existant et que vous intégrez le widget Document360, vous devez ajouter les URL sources de confiance du widget à votre politique. Sans ces ajouts, le navigateur bloquera les ressources widget, provoquant des symptômes tels que l’absence de barres de défilement, des polices bloquées, des échecs d’appels API ou des erreurs de violation CSP dans la console du navigateur.

Avant que tu commences

Vérifiez si votre base de connaissances est hébergée dans la région américaine ou européenne — les URL sources fiables diffèrent selon les régions.
Assurez-vous d’avoir accès au HTML de votre site ou à la configuration serveur pour modifier l’en-tête ou <meta> l’étiquetteContent-Security-Policy.
Identifiez la variable nonce déjà disponible dans votre système. Vous devrez remplacer "document360Nonce" dans les exemples de code par cette valeur.

Mettre à jour votre politique de sécurité de contenu

Ajoutez les sources suivantes à vos connect-srcdirectives, script-src-elem, font-src, et style-src-elem .

Pour les utilisateurs américains

<!DOCTYPE html>
<html lang="en">
<head>
    <meta http-equiv="Content-Security-Policy" content="
    connect-src 
        https://2ql92r65q8-dsn.algolia.net/
        https://apihub.us.document360.io/
        https://api.us.document360.io/
        https://gateway.us.document360.io
        https://*.algolianet.com
        https://js.monitor.azure.com;
    script-src-elem 
        'nonce-document360Nonce'
        https://cdn.us.document360.io
        https://*.algolianet.com
        https://cdn.jsdelivr.net
        https://cdnjs.cloudflare.com
        https://floik.com/exe/
        *.floik.com;
    font-src 
        https://fonts.gstatic.com
        https://cdn.us.document360.io;
    style-src-elem 
        'unsafe-inline'
        'unsafe-eval'
        https://cdn.us.document360.io/
        https://cdn.jsdelivr.net
        https://fonts.googleapis.com;">
</head>
</html>

Remplacez-le "document360Nonce" par la variable nonce déjà disponible dans votre système.

Pour les utilisateurs de l’UE

<!DOCTYPE html>
<html lang="en">
<head>
    <meta http-equiv="Content-Security-Policy" content="
    connect-src 
        https://jx9o5re9su-dsn.algolia.net
        https://apihub.document360.io/
        https://api.document360.io/
        https://gateway.document360.io
        https://*.algolianet.com
        https://js.monitor.azure.com;
    script-src-elem 
        'nonce-document360Nonce'
        https://cdn.document360.io
        https://*.algolianet.com
        https://cdn.jsdelivr.net
        https://cdnjs.cloudflare.com
        https://floik.com/exe/
        *.floik.com;
    font-src 
        https://fonts.gstatic.com
        https://cdn.document360.io;
    style-src-elem 
        'unsafe-inline'
        'unsafe-eval'
        https://cdn.document360.io/
        https://cdn.jsdelivr.net
        https://fonts.googleapis.com;">
</head>
</html>

Remplacez-le "document360Nonce" par la variable nonce déjà disponible dans votre système.

NOTE

L’URL hôte Algolia dans connect-src est spécifique à l’environnement. Si vous n’êtes pas sûr de l’hôte exact pour votre environnement, utilisez plutôt le joker https://*.algolia.net dans votre connect-src directive. Cela couvre tous les environnements Algolia et évite les erreurs CSP causées par des noms d’hôte incompatibles.

Mettez à jour la configuration de vos widgets

Allez dans Connexions () > widget de la base de connaissances dans la barre latérale de navigation de gauche de votre portail de base de connaissances.
Sélectionnez le widget requis et cliquez sur Modifier ().
Dans l’onglet Configurer et connecter , développez l’accordéon JavaScript Widget sous le groupe Connexion .
Mettez à jour votre script widget avec le paramètre nonce comme montré ci-dessous.

Pour les clients américains

<!-- Document360 knowledge base assistant start -->
    <script nonce="document360Nonce">
        (function (w,d,s,o,f,js,fjs) {
            w['JS-Widget']=o;w[o] = w[o] || function () { (w[o].q = w[o].q || []).push(arguments) };
            js = d.createElement(s), fjs = d.getElementsByTagName(s)[0];
            js.id = o; js.src = f; js.async = 1; fjs.parentNode.insertBefore(js, fjs);
        }(panel, document, 'script', 'mw', './widget.js'));
        mw('init', { nonce:'document360Nonce',apiKey: 'YOUR_API_KEY' });
        //var jQuery_2_2_4 = $.noConflict(true);
    </script>
<!-- Document360 knowledge base assistant end -->

Pour les clients de l’UE

<!-- Document360 knowledge base assistant start -->
    <script nonce="document360Nonce">
        (function (w,d,s,o,f,js,fjs) {
            w['JS-Widget']=o;w[o] = w[o] || function () { (w[o].q = w[o].q || []).push(arguments) };
            js = d.createElement(s), fjs = d.getElementsByTagName(s)[0];
            js.id = o; js.src = f; js.async = 1; fjs.parentNode.insertBefore(js, fjs);
        }(panel, document, 'script', 'mw', './widget.js'));
        mw('init', { nonce:'document360Nonce',apiKey: 'YOUR_API_KEY' });
        //var jQuery_2_2_4 = $.noConflict(true);
    </script>
<!-- Document360 knowledge base assistant end -->

Remplacez-le "document360Nonce" par la variable nonce déjà disponible dans votre système. Le widget est désormais configuré pour fonctionner de manière sécurisée dans votre environnement CSP.

FAQ

Pourquoi la barre de défilement n’apparaît-elle pas dans le widget de la Base de connaissances ?

Cela est généralement causé par une règle CSP qui bloque le domaine du widget. Si votre domaine n’est pas autorisé dans votre CSP, cela peut empêcher la fonctionnalité de défilement de fonctionner correctement. Ajoutez l’URL de domaine au CSP de votre application pour résoudre ce problème.

Dois-je ajouter des sources CSP si je n’utilise pas de nonce ?

Oui. Les sources CSP pour connect-src, font-src, et style-src-elem sont requises, que vous utilisiez ou non un nonce. Le nonce est spécifiquement nécessaire pour script-src-elem permettre l’exécution du script widget. Sans le nonce, vous devrez peut-être utiliser 'unsafe-inline' pour des scripts, ce qui n’est pas recommandé.

Quelle est la différence entre les configurations CSP américaine et européenne ?

Les configurations américaine et européenne diffèrent dans les domaines de terminaison CDN et API. Les utilisateurs américains pointent vers cdn.us.document360.io et api.us.document360.io, tandis que les utilisateurs de l’UE utilisent cdn.document360.io et api.document360.io. Utiliser les URL de la mauvaise région entraînera des ressources bloquées et un widget non fonctionnel.

Documentation Index