Kurzübersicht

Mit einer Content Security Policy (CSP) können Website-Besitzer festlegen, welche Domains bestimmte Arten von Inhalten laden können. CSP ist nur für Nicht-IE-Browser relevant.

CSP funktioniert durch Zulassung genehmigter Quellen für Ihre Website und blockiert alle Inhalte außerhalb der definierten Richtlinie. Dies unterscheidet sich von einer allgemeinen Zulassungsliste, die den Zugriff innerhalb einer Organisation steuert. Mit CSP gilt die Beschränkung unabhängig davon, wer Sie sind oder welchen Computer Sie verwenden – wenn Sie in Chrome, Firefox oder Safari arbeiten, gilt die Richtlinie.

WalkMe ist betroffen, wenn der CSP einer Website keine WalkMe-Domänen enthält, wodurch das Laden von WalkMe-Skripten verhindert wird.

Erfahren Sie mehr über CSP.

Um herauszufinden, was der CSP einer Website ist:

1. Öffnen Sie die Registerkarte „Netzwerk“ in den Entwicklerwerkzeugen
2. Wählen Sie die Hauptseitenanfrage aus (in der Regel die erste)
3. Suchen Sie „content-security-policy“ auf der Registerkarte Header

Technische Tiefenanalyse

Ein CSP definiert, welche Quellen für jeden Inhaltstyp zulässig sind. Häufige Inhaltstypen und ihre Richtlinien:

• Javascript → script-src
• CSS → style-src
• Bilder → img-src
• Standard (verwendet, wenn keine typspezifische Regel festgelegt ist) → default-src

Wenn eine Quelle im CSP nicht definiert ist und es keine Standardeinstellung gibt, werden alle Quellen für diesen Typ zugelassen.

Zum Laden von WalkMe - SaaS

Wenn WalkMe von Ihrer CSP blockiert wird, können die Dateien nicht geladen werden und Ihre Inhalte werden nicht angezeigt. Um dies zu beheben, fügen Sie die Domänen von WalkMe den richtigen Richtlinien in Ihrer Richtlinie hinzu.

• script-src — *.walkme.com Wird zum Laden und Rendern von dynamischen WalkMe-Inhalten verwendet. Beispiele: ShoutOuts, WalkMe-Menü
• style-src — 'unsafe-inline' *.walkme.com Wird für Inline-Stilattribute verwendet. Beispiele: Smart Walk-Thru-Schritte
• frame-src — 'self' *.walkme.com Wird zum Laden von Frames verwendet. Beispiele: Switch to Steps, iFrames innerhalb eines Schrittes
• frame-ancestor — *.walkme.com Wird verwendet, um Ressourcen aus WalkMe-Domänen in einen Frame zu setzen. Beispiel: Ressourcen in einer Lightbox
• font-src — 'self' data: *.walkme.com Wird verwendet, um WalkMe-Schriftarten von WalkMe-Servern herunterzuladen. Beispiel: WalkMe-Menü- und Widget-Schriftart
• img-src – 'self' data: *.walkme.com s3.walkmeusercontent.com eu-s3.walkmeusercontent.com Wird vom WalkMe-Ereignisammler verwendet, um ein Bildpixel einzufügen, das „gesehene“ Ereignisse von Elementen erfasst. Beispiele: Bilder und Ressourcen
• connect-src — 'self' *.walkme.com Wird verwendet, um XMLHttpRequests für WalkMe-Endbenutzerereignisse zu senden. Beispiele: Insights, Ziele, Aufgaben, TeachMe, Onboarding, ActionBot
• worker-src — blob: *.walkme.com Wird verwendet, um Ereignisse über einen Worker zu senden. Beispiel: Session Playback
• object-src — *.walkme.com Beispiel: Session Playback

Vollständige CSP-Zeichenfolge

script-src 'self' *.walkme.com 'unsafe-inline'; style-src 'self' *.walkme.com 'unsafe-inline'; img-src 'self' *.walkme.com s3.walkmeusercontent.com d3sbxpiag177w8.cloudfront.net data:; font-src 'self' *.walkme.com data:; connect-src 'self' *.walkme.com; frame-src 'self' *.walkme.com blob:; worker-src 'self' blob: *.walkme.com; 

*.walkme.com-Adressen

Für Konten, die das WalkMe US-Datencenter verwenden:

• https://playerserver.walkme.com
• https://ec.walkme.com
• https://cdn.walkme.com
• https://papi.walkme.com
• https://ec-playback.walkme.com
• https://workstation.walkme.com

Für Konten, die das WalkMe EU-Datencenter verwenden:

• https://eu-playerserver.walkme.com
• https://eu-ec.walkme.com
• https://eu-cdn.walkme.com
• https://eu-papi.walkme.com
• https://eu-workstation.walkme.com

Zum Laden von WalkMe - selbstgehostet

Wenn Sie eine selbst gehostete Einrichtung verwenden, grenzen Sie Ihre CSP-Richtlinien auf der Grundlage Ihrer vorhandenen Konfiguration ein. Skripte, Stile, Schriftarten, Bilder und Frames werden vom Ursprung und nicht von WalkMe geladen, sodass nicht alle oben aufgeführten Richtlinien angewendet werden.

Bestätigen von CSP-Problemen

Wenn WalkMe in keinem Browser außer Edge geladen wird, blockiert Ihre CSP es möglicherweise. Um zu überprüfen:

1. Öffnen Sie die Entwicklerwerkzeuge und gehen Sie zur Registerkarte Konsole
2. Laden Sie die Seite neu
3. Suchen Sie nach einer Fehlermeldung „Content Security Policy“ (Inhaltssicherheitsrichtlinie).

Wenn Sie eine sehen, wenden Sie sich an Ihr IT-Team und bitten Sie es, die Domänen von WalkMe zu den relevanten Richtlinien hinzuzufügen.

Wenn Ihr CSP-Meta-Tag im HTML-Head-Tag Ihrer Website ist, kann dies auch das <Laden> von WalkMe blockieren. Teilen Sie die Fehlermeldung „Inhaltssicherheitsrichtlinie“ aus der Registerkarte „Konsole“ mit Ihrem IT-Team, damit es das Problem lösen kann.