Flipdesk利用時に必要なCSP設定

1. CSP(Content Security Policy)とは

Webページで読み込むリソース（スクリプト・画像・通信先など）の取得元を制限するセキュリティ機能です。
あらかじめ許可されたドメインからのリソースのみ実行・読み込みを許可することで、
不正なスクリプトの実行や情報漏洩のリスクを防止します。
その為、CSP設定下で外部サービスを利用する場合は、該当サービスのドメインをCSP設定にて許可する必要があります。

2. 設定が必要なドメインについて

Flipdeskを安定して利用するため、以下のドメインをCSP設定にて許可をお願いいたします。

◼︎Flipdesk基本機能のみご利用の場合

① default-src をご利用の場合

＊許可するドメイン

default-src 'self' *.flipdesk.jp *.flipdesk.cc *.flipdesk.net flipdesk.s3.ap-northeast-1.amazonaws.com flipdesk-scenario-creatives.s3.ap-northeast-1.amazonaws.com;

② 個別にディレクティブを設定している場合
上記のドメインを各ディレクティブに対して個別に許可設定をお願いいたします。

＊許可するディレクティブ

script-src
style-src
img-src
connect-src
media-src
frame-src
worker-src
manifest-src

◼︎有人チャット機能をご利用の場合

有人チャット機能をご利用の場合は追加で下記の設定をお願い致します。

① default-src をご利用の場合

＊許可するドメイン

default-src 'self' *.stream-io-api.com

② 個別にディレクティブを設定している場合
上記のドメインを各ディレクティブに対して個別に許可設定をお願いいたします。

＊許可するディレクティブ

script-src
style-src
img-src
connect-src
frame-src

◼︎CrossTalk機能をご利用の場合

CrossTalk機能をご利用の場合は追加で下記の設定をお願い致します。

① default-src をご利用の場合

＊許可するドメイン

default-src 'self' *.chatbot.flipdesk.cc

② 個別にディレクティブを設定している場合
上記のドメインを各ディレクティブに対して個別に許可設定をお願いいたします。

＊許可するディレクティブ

script-src
style-src
img-src
connect-src
frame-src

なお動作しない場合はscript-src、style-srcについてはunsafe-inlineを許可する設定の追加をお願い致します

'unsafe-inline' *.chatbot.flipdesk.cc

3. CSPエラーの確認方法

CSP設定に起因するエラーは、ブラウザの開発者ツール（DevTools）から確認することができます。

① 開発者ツールを開く

• Windows：F12
• Mac：Command + Option + I

② 「Console」タブを確認する

「Console」タブを開き、エラーメッセージをご確認ください。

③ CSPエラーの確認ポイント

CSPに関連するエラーは、以下のようなメッセージが表示されます。

• Refused to load the script
• Refused to connect
• Content Security Policy

例：