Github verwendete seit 2013 einen Content Security Policy-Header, der Bookmarklets über die unsafe-inline
Option blockierte :
INHALT-SICHERHEITSPOLITIK: default-src *; script-src 'self' assets-cdn.github.com jobs.github.com ssl.google-analytics.com secure.gaug.es; style-src 'self' assets-cdn.github.com 'unsafe-inline'; object-src 'self' assets-cdn.github.com;
Dies wurde 2017 mit einer expliziteren Richtlinie festgelegt:
INHALT-SICHERHEITSPOLITIK: default-src 'none'; base-uri 'self'; block-all-mixed-content; child-src render.githubusercontent.com; connect-src 'self' uploads.github.com status.github.com api.github.com www.google-analytics.com wss: //live.github.com; font-src assets-cdn.github.com; Formular-Aktion 'selbst' github.com gist.github.com; Vorfahren "keine"; frame-src render.githubusercontent.com; img-src "self" -Daten: assets-cdn.github.com identicons.github.com www.google-analytics.com collector.githubapp.com * .gravatar.com * .wp.com * .githubusercontent.com; media-src 'none'; object-src assets-cdn.github.com; Plugin-Typen Anwendung / X-Shockwave-Flash; script-src assets-cdn.github.com; style-src 'unsafe-inline' assets-cdn.github.com
Verweise