Kurzübersicht

Mit einer Content Security Policy (CSP) können Website-Besitzer festlegen, welche Domains bestimmte Arten von Inhalten laden können. CSP ist nur für Nicht-IE-Browser relevant.

CSP funktioniert durch Zulassung genehmigter Quellen für Ihre Website und blockiert alle Inhalte außerhalb der definierten Richtlinie. Dies unterscheidet sich von einer allgemeinen Zulassungsliste, die den Zugriff innerhalb einer Organisation steuert. Bei CSP gilt die Einschränkung, unabhängig davon, wer Sie sind oder welchen Computer Sie verwenden – wenn Sie in Chrome, Firefox oder Safari sind, gilt die Richtlinie.

WalkMe ist betroffen, wenn der CSP einer Website keine WalkMe-Domänen enthält, wodurch das Laden von WalkMe-Skripten verhindert wird.

Erfahren Sie mehr über CSP. die

Um herauszufinden, was der CSP einer Website ist:

1. Öffnen Sie die Registerkarte Netzwerk in den Entwicklerwerkzeugen
2. Wählen Sie die Hauptseitenanfrage aus (in der Regel die erste)
3. Finden Sie „content-security-policy“ auf der Registerkarte Header

Technische Tiefenanalyse

Ein CSP definiert, welche Quellen für jeden Inhaltstyp zulässig sind. Häufige Inhaltstypen und ihre Richtlinien:

• Javascript → script-src
• CSS → style-src
• Bilder → img-src
• Standard (verwendet, wenn keine typspezifische Regel festgelegt ist) → default-src

Wenn eine Quelle nicht im CSP definiert ist und es keinen Standard gibt, werden alle Quellen für diesen Typ zugelassen.

Zum Laden von WalkMe - SaaS

Wenn WalkMe von Ihrem CSP blockiert wird, werden die Dateien nicht geladen und Ihre Inhalte werden nicht angezeigt. Um dies zu beheben, fügen Sie die Domains von WalkMe zu den richtigen Anweisungen in Ihrer Richtlinie hinzu.

• script-src — Wird zum Laden und Rendern von dynamischen WalkMe-Inhalten verwendet. Beispiele: ShoutOuts, WalkMe-Menü
• style-src — Wird für Inline-Stilattribute verwendet. Beispiele: Smart Walk-Thru-Schritte
• frame-src — Wird zum Laden von Frames verwendet. Beispiele: Switch to Steps, iFrames innerhalb eines Schritts
• frame-ancestor – Wird verwendet, um Ressourcen aus WalkMe-Domänen in einen Rahmen zu setzen. Beispiel: Ressourcen in einer Lightbox
• font-src — Wird verwendet, um WalkMe-Schriftarten von WalkMe-Servern herunterzuladen. Beispiel: WalkMe-Menü- und Widget-Schriftart
• img-src – Wird vom WalkMe-Ereignisammler verwendet, um ein Bildpixel einzufügen, das „gesehene“ Ereignisse von Elementen erfasst. Beispiele: Bilder und Ressourcen
• connect-src — Wird verwendet, um XMLHttpRequests für WalkMe-Endbenutzerereignisse zu senden. Beispiele: Insights, Ziele, Aufgaben, TeachMe, Onboarding, ActionBot
• worker-src — Wird verwendet, um Ereignisse über einen Worker zu senden. Beispiel: Session Playback
• object-src — Beispiel: Session Playback

Vollständige CSP-Zeichenfolge

script-src 'self' *.walkme.com 'unsafe-inline'; style-src 'self' *.walkme.com 'unsafe-inline'; img-src 'self' *.walkme.com s3.walkmeusercontent.com d3sbxpiag177w8.cloudfront.net data:; font-src 'self' *.walkme.com data:; connect-src 'self' *.walkme.com; frame-src 'self' *.walkme.com blob:; worker-src 'self' blob: *.walkme.com; 

*.walkme.com-Adressen

Für Konten, die das WalkMe US-Rechenzentrum verwenden:

• https://playerserver.walkme.com
• https://ec.walkme.com
• https://cdn.walkme.com
• https://papi.walkme.com
• https://ec-playback.walkme.com
• https://workstation.walkme.com

Für Konten, die das WalkMe EU-Datencenter verwenden:

• https://eu-playerserver.walkme.com
• https://eu-ec.walkme.com
• https://eu-cdn.walkme.com
• https://eu-papi.walkme.com
• https://eu-workstation.walkme.com

Zum Laden von WalkMe - selbstgehostet

Wenn Sie ein selbst gehostetes Setup verwenden, grenzen Sie Ihre CSP-Richtlinien auf der Grundlage Ihrer bestehenden Konfiguration ein. Skripte, Stile, Schriftarten, Bilder und Frames werden vom Ursprung und nicht von WalkMe geladen, daher werden nicht alle oben aufgeführten Richtlinien angewendet.

Bestätigen von CSP-Problemen

Wenn WalkMe in keinem Browser außer Edge geladen wird, blockiert Ihre CSP es möglicherweise. Um zu überprüfen:

1. Öffnen Sie die Entwicklerwerkzeuge und gehen Sie zur Registerkarte Konsole
2. Laden Sie die Seite neu.
3. Suchen Sie nach der Fehlermeldung „Inhaltssicherheitsrichtlinie“.

Wenn Sie eine sehen, wenden Sie sich an Ihr IT-Team und bitten Sie es, die Domänen von WalkMe zu den relevanten Richtlinien hinzuzufügen.

Wenn sich Ihr CSP-Meta-Tag im HTML-Head-Tag Ihrer Website <befindet>, kann dies auch das Laden von WalkMe blockieren. Teilen Sie die Fehlermeldung „Inhaltssicherheitsrichtlinie“ auf der Registerkarte „Konsole“ mit Ihrem IT-Team, damit sie das Problem lösen können.