[RÉGLÉ] Problème d'affichage d'une carte en raison des CSP

[Zwitefli]

Bonjour,
Je sollicite votre aide pour un souci rencontré sur un site que je gère. Sur ce site, j'utilise PhocaMaps pour localiser la chambre d'hôtes avec une carte OpenStreetMap mais, depuis quelques temps, la carte de localisation n'affiche qu'un fond gris sur cette page : https://aucarresainteloi.com/au-carr...alisation.html (et ses versions anglaises et néerlandaises).

Avec l'inspecteur de Chrome, j'ai cette erreur : Failed to load resource: net::ERR_BLOCKED_BY_RESPONSE.NotSameOriginAfterDef aultedToSameOriginByCoep

J'ai activé dessus les CSP mais je ne sais pas vraiment laquelle changer. J'utilise le plugin HttpsHeader et, dans le HTAccess, j'ai ceci :

## DÉBUT DES HEADERS ET CSP ##
<IfModule mod_headers.c>
# Charger l'entête HSTS.
Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" env=HTTPS

# Protéger des failles X-XSS X-Frame X-Content.
Header set X-XSS-Protection "1; mode=block"
Header always set X-Frame-Options "SAMEORIGIN"
Header set Content-Security-Policy "default-src 'self';"
Header set Content-Security-Policy "script-src 'self' 'unsafe-inline' 'unsafe-eval' https://*.gstatic.com https://www.google.com/recaptcha/api.js www.google-analytics.com blob: data:;"
Header set Content-Security-Policy "style-src 'self' 'unsafe-inline' https://fonts.googleapis.com;"
Header always set Permissions-Policy: interest-cohort=()
# Le navigateur n'enverra pas l'en-tête du référent lors de la navigation de HTTPS vers HTTP.
Header always set Referrer-Policy 'no-referrer-when-downgrade'
Header always set Feature-Policy "microphone 'none'; payment 'none'; sync-xhr 'self'

Pourriez-vous m'indiquer ce qu'il faut changer pour que la carte puisse s'affiche de nouveau ?
D'avance, merci beaucoup.

Le site est sous Joomla 5.2.4, PHP 8.1.31 chez O2Switch.

[Fred2FR3]

Bonjour,
Trop de sécurité tue la sécurité, vous en faites les frais !
Je pencherai sur les 'self et default-src' et sur le "sameorigin". De ce fait, je désactiverai le cache, j'effacerai ces lignes une a une afin d'identifier le problème.
Problème identifié, vous revenez vers nous ou vous trouvez la solution par vous même, les doc sur les CSP sont courantes.
Le soucis généralement, c'est qu'une fois identifié et pour résoudre le problème, on ouvre une faille et donc cette protection CSP commence a devenir caduque voir inutile sur de gros sites.

Votre HTaccess est parfaitement commenté, donc j'en déduis que vous vous êtes intéressé aux CSP. Je vous invite donc a continuer a creusé et inscrire des exceptions

[Zwitefli]

Un grand merci pour votre aide ! J'ai trouvé la ligne qui posait problème (elle était en-dessous de ce que j'avais copié ici) : # Header always set Cross-Origin-Embedder-Policy "require-corp"
Depuis, ça refonctionne nickel