Korzystanie z Menedżera tagów z Content Security Policy

Content Security Policy (CSP) to powszechnie obsługiwany standard bezpieczeństwa internetowego, który ma zapobiegać niektórym rodzajom ataków opartych na wstrzykiwaniu kodu. Umożliwia on programistom kontrolowanie zasobów wczytywanych przez ich aplikacje. Z tego przewodnika dowiesz się, jak wdrażać Menedżera tagów Google w witrynach, które korzystają z zasad CSP.

Włączanie tagu kontenera do korzystania z CSP

Aby używać Menedżera tagów Google na stronie z zasadami CSP, musisz zezwolić w tych zasadach na wykonywanie kodu kontenera Menedżera tagów. Ten kod jest wbudowanym kodem JavaScript, który wstawia skrypt gtm.js. Można to zrobić na kilka sposobów, np. używając jednorazowego kodu lub funkcji skrótu. Zalecana metoda to użycie wartości nonce, która powinna być nieprzewidywalną, losową wartością generowaną przez serwer indywidualnie dla każdej odpowiedzi. Podaj wartość nonce w dyrektywie Content-Security-Policy script-src:

Content-Security-Policy:
script-src 'nonce-{SERVER-GENERATED-NONCE}';
img-src www.googletagmanager.com;
connect-src www.googletagmanager.com www.google.com

Następnie użyj wersji wbudowanego kodu kontenera Menedżera tagów, która uwzględnia wartość nonce. Ustaw atrybut nonce w elemencie skryptu wbudowanego na tę samą wartość:

<!-- Google Tag Manager -->
<script nonce='{SERVER-GENERATED-NONCE}'>(function(w,d,s,l,i){w[l]=w[l]||[];w[l].push({'gtm.start':
new Date().getTime(),event:'gtm.js'});var f=d.getElementsByTagName(s)[0],
j=d.createElement(s),dl=l!='dataLayer'?'&l='+l:'';j.async=true;j.src=
'https://www.googletagmanager.com/gtm.js?id='+i+dl;var n=d.querySelector('[nonce]');
n&&j.setAttribute('nonce',n.nonce||n.getAttribute('nonce'));f.parentNode.insertBefore(j,f);
})(window,document,'script','dataLayer','GTM-XXXXXX');</script>
<!-- End Google Tag Manager -->

Menedżer tagów będzie następnie przekazywać wartość nonce do wszystkich skryptów, które dodaje do strony.

Istnieją inne sposoby umożliwienia wykonania skryptu wbudowanego, np. podanie w CSP skrótu skryptu wbudowanego.

Jeśli zalecane podejścia z użyciem wartości nonce lub funkcji skrótu nie są możliwe, możesz włączyć skrypt wbudowany Menedżera tagów, dodając dyrektywę 'unsafe-inline' do sekcji script-src w zasadach CSP.

Aby korzystać z tej metody, musisz umieścić w nagłówku CSP te dyrektywy:

Niestandardowe zmienne JavaScript

Ze względu na sposób implementacji niestandardowych zmiennych JavaScript w przypadku obecności CSP będą one przyjmować wartość undefined, chyba że w sekcji script-src CSP podano dyrektywę 'unsafe-eval'.

Tryb podglądu

Aby korzystać z trybu podglądu Menedżera tagów Google, musisz umieścić w nagłówku CSP te dyrektywy:

Google Analytics 4 (Google Analytics)

Aby używać tagu Google Analytics 4 (Google Analytics), musisz umieścić w nagłówku CSP te dyrektywy:

W przypadku wdrożeń Google Analytics 4 (Google Analytics) korzystających z Google Signals nagłówek CSP musi zawierać te dyrektywy:

Google Ads

Aby używać tagu konwersji, remarketingu lub łączącego konwersje Google Ads, musisz umieścić w nagłówku CSP te dyrektywy:

Sygnał danych użytkownika Google Ads

Aby używać sygnałów danych o użytkownikach Google Ads w bezpiecznych kontekstach, nagłówek CSP musi zawierać te dyrektywy:

Sygnał danych o użytkownikach reklam Google nie działa w niezabezpieczonych kontekstach, więc w takich przypadkach konfiguracja CSP nie ma zastosowania.

Floodlight

Użytkownicy Floodlight mogą włączyć CSP, korzystając z tych konfiguracji: Zastąp wartości <FLOODLIGHT-CONFIG-ID> konkretnym identyfikatorem reklamodawcy Floodlight lub wartością *, aby zezwolić na dowolny identyfikator reklamodawcy:

Dla wszystkich użytkowników:

W przypadku sygnałów „skryptów niestandardowych”:

W przypadku tagów graficznych:

Skrypt service worker

Aby używać Service Worker do konwersji rozszerzonych, sygnałów danych użytkownika i konwersji z reklam, nagłówek CSP musi zawierać te dyrektywy:

Rozwiązywanie problemów za pomocą rozszerzenia Tag Assistant

Aby rozwiązać problemy ze standardem Content Security Policy (CSP), użyj Tag Assistant. Asystent tagów wyświetli listę zasobów zablokowanych przez zasady bezpieczeństwa treści.

1. Otwórz Tag Assistant i wpisz adres URL swojej witryny. Otworzy się nowa karta z Twoją witryną.

2. Jeśli standard Content Security Policy na stronie blokuje zasób, w sekcji Problemy ze stroną w Asystencie tagów wyświetli się problem z CSP.

   

3. Kliknij Wyświetl problem obok problemu z CSP, aby wyświetlić listę wszystkich zablokowanych zasobów na stronie.

4. Dodaj wszystkie zablokowane zasoby do standardu Content Security Policy.