سياسة أمان المحتوى (CSP) هي معيار أمان ويب معتمَد على نطاق واسع يهدف إلى منع أنواع معيّنة من الهجمات المستندة إلى الحقن من خلال منح المطوّرين إمكانية التحكّم في الموارد التي تحمّلها تطبيقاتهم. استخدِم هذا الدليل لفهم كيفية نشر Google Tag Manager على المواقع الإلكترونية التي تستخدم سياسة أمان المحتوى.
تفعيل علامة الحاوية لاستخدام سياسة أمان المحتوى (CSP)
لاستخدام Google Tag Manager على صفحة تتضمّن سياسة أمان المحتوى، يجب أن تسمح هذه السياسة بتنفيذ رمز حاوية Google Tag Manager. يتم إنشاء هذا الرمز كرمز JavaScript مضمّن يُدخِل النص البرمجي gtm.js. هناك عدة طرق لإجراء ذلك، مثل استخدام رقم خاص أو تجزئة. الطريقة المقترَحة هي استخدام رقم خاص، ويجب أن يكون قيمة عشوائية لا يمكن تخمينها، وينشئها الخادم بشكل فردي لكل استجابة. أدخِل قيمة الرمز المميّز في توجيه Content-Security-Policy script-src-elem على النحو التالي: nonce-{SERVER-GENERATED-NONCE}، واستخدِم الإصدار المتوافق مع الرمز المميّز من رمز حاوية "إدارة العلامات من Google" المضمّن. اضبط السمة nonce في عنصر النص البرمجي المضمّن على القيمة نفسها:
<!-- Google Tag Manager -->
<script nonce='{SERVER-GENERATED-NONCE}'>(function(w,d,s,l,i){w[l]=w[l]||[];w[l].push({'gtm.start':
new Date().getTime(),event:'gtm.js'});var f=d.getElementsByTagName(s)[0],
j=d.createElement(s),dl=l!='dataLayer'?'&l='+l:'';j.async=true;j.src=
'https://www.googletagmanager.com/gtm.js?id='+i+dl;var n=d.querySelector('[nonce]');
n&&j.setAttribute('nonce',n.nonce||n.getAttribute('nonce'));f.parentNode.insertBefore(j,f);
})(window,document,'script','dataLayer','GTM-XXXXXX');</script>
<!-- End Google Tag Manager -->
ستنشر أداة Tag Manager بعد ذلك الرقم الخاص في أي نصوص برمجية تضيفها إلى الصفحة.
هناك طرق أخرى لتفعيل تنفيذ نص برمجي مضمَّن، مثل تقديم تجزئة النص البرمجي المضمَّن في سياسة أمان المحتوى.
إذا لم تكن طرق التجزئة أو الرموز المميّزة المقترَحة ممكنة، يمكن تفعيل النص البرمجي المضمّن في "إدارة العلامات من Google" من خلال إضافة التوجيه 'unsafe-inline' إلى قسم script-src-elem في سياسة أمان المحتوى.
يجب أن تسمح سياسة أمان المحتوى (CSP) بما يلي لاستخدام هذا النهج:
| الأمر | المحتوى |
|---|---|
script-src-elem |
https://www.googletagmanager.com 'unsafe-inline' |
img-src |
https://www.googletagmanager.com |
connect-src |
https://www.googletagmanager.com https://www.google.com |
متغيّرات JavaScript المخصّصة
بسبب طريقة تنفيذ متغيّرات JavaScript المخصّصة، سيتم تقييمها على أنّها undefined في حال توفّر سياسة أمان المحتوى (CSP) ما لم يتم تقديم توجيه 'unsafe-eval' في قسم script-src من سياسة أمان المحتوى (CSP).
| الأمر | المحتوى |
|---|---|
script-src |
'unsafe-eval' |
وضع المعاينة
لاستخدام وضع المعاينة في Google Tag Manager، يجب أن تسمح "سياسة أمان المحتوى" بما يلي:
| الأمر | المحتوى |
|---|---|
script-src-elem |
https://www.googletagmanager.com https://tagmanager.google.com |
style-src |
https://www.googletagmanager.com https://tagmanager.google.com https://fonts.googleapis.com |
img-src |
https://www.googletagmanager.com https://ssl.gstatic.com https://www.gstatic.com |
font-src |
https://fonts.gstatic.com data: |
إحصاءات Google
لاستخدام "إحصاءات Google"، يجب أن تسمح سياسة أمان المحتوى بما يلي:
| الأمر | المحتوى |
|---|---|
script-src-elem |
https://www.googletagmanager.com |
img-src |
https://www.googletagmanager.com https://*.google-analytics.com https://*.google.com https://*.google.<TLD> https://*.g.doubleclick.net |
connect-src |
https://www.googletagmanager.com https://*.google-analytics.com https://*.google.com https://*.google.<TLD> https://*.g.doubleclick.net https://pagead2.googlesyndication.com |
frame-src |
https://www.googletagmanager.com |
لاستخدام "إحصاءات Google" بدون أيّ ميزات في "إعلانات Google"، يجب أن تسمح سياسة أمان المحتوى (CSP) بما يلي:
| الأمر | المحتوى |
|---|---|
script-src-elem |
https://www.googletagmanager.com |
img-src |
https://www.googletagmanager.com https://*.google-analytics.com |
connect-src |
https://www.googletagmanager.com https://*.google-analytics.com https://*.google.com |
إعلانات Google
لاستخدام علامة إحالة ناجحة أو تجديد نشاط تسويقي أو ربط إحالة ناجحة في "إعلانات Google"، يجب أن تسمح سياسة أمان المحتوى (CSP) بما يلي:
| الأمر | المحتوى |
|---|---|
script-src-elem |
https://www.googletagmanager.com https://www.googleadservices.com https://www.google.com |
img-src |
https://www.googletagmanager.com https://www.googleadservices.com https://googleads.g.doubleclick.net https://pagead2.googlesyndication.com https://www.google.com https://www.google.<TLD> |
connect-src |
https://www.googletagmanager.com https://www.googleadservices.com https://googleads.g.doubleclick.net https://pagead2.googlesyndication.com https://www.google.com https://www.google.<TLD> https://ad.doubleclick.net |
frame-src |
https://www.googletagmanager.com |
بيانات مستخدمي "إعلانات Google"
لاستخدام إشارات بيانات المستخدمين في "إعلانات Google" عند العمل في سياقات آمنة، يجب أن تسمح "سياسة أمان المحتوى" بما يلي:
| الأمر | المحتوى |
|---|---|
script-src-elem |
https://www.googletagmanager.com |
connect-src |
https://www.google.com |
frame-src |
https://www.googletagmanager.com |
لا يتم تشغيل إشارة بيانات مستخدمي "إعلانات Google" في السياقات غير الآمنة، لذا لا ينطبق ضبط سياسة أمان المحتوى في هذه الحالات.
Floodlight
لاستخدام Floodlight، يجب أن تسمح سياسة أمان المحتوى بما يلي:
| الأمر | المحتوى |
|---|---|
img-src |
https://www.googletagmanager.com https://ad.doubleclick.net https://ade.googlesyndication.com https://adservice.google.com |
connect-src |
https://pagead2.googlesyndication.com https://www.google.com https://www.googleadservices.com https://ad.doubleclick.net |
frame-src |
https://www.googletagmanager.com |
لاستخدام نصوص Floodlight البرمجية المخصّصة، يجب أن تسمح سياسة CSP أيضًا بما يلي (بالإضافة إلى ما سبق):
| الأمر | المحتوى |
|---|---|
frame-src |
https://*.fls.doubleclick.net |
Merchant Center
لاستخدام Merchant Center، يجب أن تسمح سياسة أمان المحتوى (CSP) بما يلي:
| الأمر | المحتوى |
|---|---|
script-src-elem |
https://www.googletagmanager.com |
img-src |
https://*.merchant-center-analytics.goog |
connect-src |
https://*.merchant-center-analytics.goog |
بوابة علامات التتبّع من Google للمعلنين
عند استخدام بوابة علامات التتبّع من Google للمعلِنين، يتم تحميل علامة التتبُّع من Google من مسار قياس على موقعك الإلكتروني وإرسال البيانات إليه (على سبيل المثال، https://www.example.com/metrics). لا تزال بعض العلامات ترسل طلبات إلى نطاقات Google، لذا يُرجى الالتزام بالتوجيهات المدرَجة لكل منتج، والسماح أيضًا بما يلي:
| الأمر | المحتوى | الغرض |
|---|---|---|
script-src-elem |
'self' |
تحميل علامة التتبُّع من Google من مسار القياس |
img-src |
'self' |
طلبات القياس |
connect-src |
'self' |
طلبات القياس |
worker-src |
'self' |
مشغّل الخدمات |
تأكَّد من أنّ شبكة توصيل المحتوى (CDN) أو خادم الويب لا يضيفان عنوان Content-Security-Policy الخاص بموقعك الإلكتروني إلى الردود من مسار القياس.
وإلا، يمكن للمتصفّح حظر مشغّل الخدمات.
وضع علامات التتبُّع من جانب الخادم
عندما ترسل علامة التتبُّع من Google البيانات إلى حاوية خادم،
يجب أن تسمح سياسة CSP أيضًا بخادم وضع العلامات. لا تحلّ هذه التوجيهات محلّ التوجيهات المدرَجة لكل منتج، مثل https://www.googletagmanager.com.
يعتمد ما تضيفه على مكان استضافة خادم وضع العلامات:
| الأمر | الإعداد من المصدر نفسه | إعداد النطاق الفرعي | الغرض |
|---|---|---|---|
img-src |
'self' |
https://TAGGING_SERVER_DOMAIN |
طلبات القياس |
connect-src |
'self' |
https://TAGGING_SERVER_DOMAIN |
طلبات القياس |
frame-src |
'self' |
https://TAGGING_SERVER_DOMAIN |
مشغّل الخدمات |
worker-src |
'self' |
لا حاجة إليها | مشغّل الخدمات |
script-src-elem |
'self' |
https://TAGGING_SERVER_DOMAIN |
فقط في حال تحميل علامة التتبُّع من Google من خادم وضع العلامات |
في عملية الإعداد من المصدر نفسه، يتم عرض خادم وضع العلامات من مسار على موقعك الإلكتروني (مثلاً، https://www.example.com/metrics). في عملية إعداد النطاق الفرعي، استبدِل TAGGING_SERVER_DOMAIN بنطاق خادم وضع العلامات (مثلاً، sgtm.example.com).
في الإعدادات من المصدر نفسه، تأكَّد من أنّ شبكة توصيل المحتوى أو خادم الويب لا يضيفان عنوان Content-Security-Policy الخاص بموقعك الإلكتروني إلى الردود من مسار وضع العلامات.
وإلا، يمكن للمتصفّح حظر مشغّل الخدمات.
مشغّل الخدمات
لا تستخدم علامة التتبُّع من Google مُشغّل خدمة إلا عند استخدام "بوابة علامات التتبُّع من Google للمعلِنين" أو وضع علامات التتبُّع من جانب الخادم. للاطّلاع على التوجيهات التي يتطلّبها كل إعداد، يُرجى مراجعة مقالتَي بوابة علامات التتبّع من Google للمعلِنين ووضع علامات التتبُّع من جانب الخادم. إذا كنت تستخدم كليهما، يجب أن تسمح سياسة CSP بكليهما.
تحديد المشاكل وحلّها باستخدام Tag Assistant
لتحديد المشاكل في "سياسة أمان المحتوى" (CSP) وحلّها، استخدِم Tag Assistant. ستعرض إضافة Tag Assistant قائمة الموارد التي تحظرها "سياسة أمان المحتوى".
افتح Tag Assistant وأدخِل عنوان URL لموقعك الإلكتروني. يتم فتح موقعك الإلكتروني في علامة تبويب جديدة.
إذا كانت "سياسة أمان المحتوى" في صفحتك تحظر أحد الموارد، ستظهر مشكلة في "سياسة أمان المحتوى" في قسم مشاكل الصفحة ضمن Tag Assistant.
انقر على عرض المشكلة بجانب مشكلة سياسة أمان المحتوى للاطّلاع على قائمة بجميع الموارد المحظورة على صفحتك.
أضِف جميع الموارد المحظورة إلى "سياسة أمان المحتوى".