CSP e domínios para liberar na loja

Se a sua loja usa uma política de segurança de conteúdo (CSP), ela precisa permitir os endereços da Provei. Sem isso, o navegador bloqueia o script, o botão não aparece e o console mostra avisos de política violada.

Se a loja não envia o cabeçalho Content-Security-Policy nem a meta tag equivalente, não é preciso fazer nada.

O que permitir

Diretiva	Valor	Para quê
`script-src`	`https://app.provei.ai`	Carregar o script do provador e o do Video Commerce.
`connect-src`	`https://app.provei.ai`	Buscar as configurações da loja, conferir o produto da página e registrar o uso.
`frame-src`	`https://app.provei.ai`	Abrir a janela do provador, que é um `iframe`.
`img-src`	`https://provei-ai.b-cdn.net` e `data:`	Mostrar o logo da loja no convite (pop-up) e a imagem ampliada do resultado.

Exemplo, somando aos endereços que a sua loja já usa:

script-src 'self' https://app.provei.ai 'nonce-valor-aleatorio';
connect-src 'self' https://app.provei.ai;
frame-src https://app.provei.ai;
img-src 'self' https://provei-ai.b-cdn.net data:;

As chamadas ao carrinho vão para o próprio endereço da loja, já coberto por 'self'. Se o convite (pop-up) mostra a foto do produto e ela não aparece com a política ativa, fale com o suporte para confirmar o endereço das fotos da sua conta.

Carregador do provador de ambientes

O carregador com verificação é um script escrito direto na página. Além de https://app.provei.ai, a política precisa autorizar esse script de uma destas formas:

Nonce. Coloque na tag <script data-provei-widget-loader ...> o mesmo nonce que o servidor envia na política a cada página.
Hash. Calcule o hash SHA-256 do conteúdo do script e inclua na política. Se você copiar o código de novo no painel, recalcule o hash.

Se a sua política usa 'strict-dynamic', coloque o nonce também nas tags <script src="https://app.provei.ai/..."> dos outros provadores. Os scripts que a Provei carrega a partir deles passam a ser aceitos.

Estilos

O provador adiciona à página uma folha de estilo própria (um elemento <style>) e estilos aplicados direto nos elementos do botão e da janela. Se a sua política bloqueia estilos escritos na página, o botão e a janela aparecem sem formatação ou quebrados.

A política precisa permitir os estilos do provador. Use a opção mais restrita que a sua política aceitar, como um nonce ou um hash em style-src, onde houver suporte. Se não tiver certeza de como liberar, fale com o suporte antes de publicar a política.

Video Commerce

O script do Video Commerce usa os mesmos endereços de https://app.provei.ai. Ele repassa o nonce da tag para o script que carrega. Os vídeos vêm de endereços próprios de vídeo: para saber quais liberar em media-src e connect-src, fale com o suporte.

Google Tag Manager

Se você instala o código da Provei pelo Google Tag Manager da loja, a política já precisa permitir o seu GTM, como acontece com as outras tags que ele carrega. Os endereços desta página continuam necessários.

Conferir depois de publicar

Abra uma página de produto do catálogo com o console do navegador aberto.
Procure avisos de política de segurança que citem app.provei.ai ou provei-ai.b-cdn.net.
Clique no botão do provador e confira se a janela abre com a formatação certa.

Se algum aviso continuar, mande ao suporte o link da página e o texto do aviso: suporte@provei.ai ou WhatsApp +55 11 5296-0168.

Perguntas frequentes

Minha loja não tem CSP. Preciso fazer algo?

Não. Esta página é só para lojas que enviam o cabeçalho Content-Security-Policy ou a meta tag equivalente.

Posso liberar tudo de provei.ai com um curinga?

Não recomendamos. Libere só os endereços exatos desta página. Curingas abrem a loja para mais origens do que o provador precisa.

O suporte da Provei responde por e-mail e WhatsApp.