Hallo Cris,
vielen Dank für deine Antwort.
Zu deinen Anmeerkungen:
Die fehlerhafte Einrückung bei "script-src" ist vermutlich durch Copy/Paste entstanden?
Ja, das ist ein Copy/Past Fehler
Ansonsten: Kannst du mal die reale generierte CSP aus dem Response vom Browser hier reinschreiben? Das Matomo-Skript hat im HTML-Code vermutlich auch den korrekten Nonce-Wert?
Ich habe es aus dem TypoScript rausgenommen und in Fluid so eingebunden. Das funktioniert meiner Meinung nach besser, aber ist es auch die bessere Idee…?
<f:asset.script identifier="matomo-script" useNonce="1" priority="true">
var _paq = window._paq = window._paq || [];
/* tracker methods like "setCustomDimension" should be called before "trackPageView" */
_paq.push(['trackPageView']);
_paq.push(['enableLinkTracking']);
(function() {
var u="https://piwik.domain.de/";
_paq.push(['setTrackerUrl', u+'matomo.php']);
_paq.push(['setSiteId', '89698']);
var d=document, g=d.createElement('script'), s=d.getElementsByTagName('script')[0];
g.async=true; g.src=u+'matomo.js'; s.parentNode.insertBefore(g,s);
})();
</f:asset.script>
Was steht in "inject.js", Zeile 221?
Das ist eine Firefox Extension die dazwischen grätscht. :/
Ich habe meine CSP sehr stark gekürzt und weitestegehend deine übernommen. Aktuell sieht diese so aus:
inheritDefault: true
mutations:
- mode: "set"
directive: "default-src"
sources:
- "'self'"
- "https://piwik.domain.de"
- mode: extend
directive: "connect-src"
sources:
- "https://piwik.domain.de"
- mode: extend
directive: "img-src"
sources:
- "https://piwik.domain.de"
- mode: extend
directive: "script-src"
sources:
- "https://piwik.domain.de"
MIt diesen Änderungen habe ich keine CSP Fehlermeldungen mehr. :)
Was ich noch nicht verstanden habe, ist wie ich eine Report-Url oder Report-File einbinde. Hast du dafür noch ein Beispiel?
Vielen lieben Dank für deine Hilfe.
Steffen