Cómo usar Tag Manager con una Política de Seguridad del Contenido

La Política de Seguridad del Contenido (CSP) es un estándar de seguridad web ampliamente compatible que tiene como objetivo evitar ciertos tipos de ataques basados en inyecciones, ya que les brinda a los desarrolladores control sobre los recursos que cargan sus aplicaciones. Usa esta guía para comprender cómo implementar Google Tag Manager en sitios que usan una CSP.

Nota: Para asegurarte de que la CSP se comporte según lo esperado, lo mejor es usar las directivas report-to para obtener informes de incumplimientos de políticas.

Habilita la etiqueta del contenedor para que use la CSP

Para usar Google Tag Manager en una página con una CSP, esta debe permitir la ejecución del código del contenedor de Tag Manager. Este código se compila como código JavaScript intercalado que inserta la secuencia de comandos gtm.js. Existen varias formas de hacerlo, como usar un nonce o un hash. El método recomendado es usar un nonce, que debe ser un valor aleatorio y difícil de adivinar que el servidor genera de forma individual para cada respuesta. Proporciona el valor de nonce en la directiva script-src-elem de Content-Security-Policy como nonce-{SERVER-GENERATED-NONCE} y usa la versión compatible con nonce del código del contenedor de Tag Manager intercalado. Configura el atributo nonce en el elemento de secuencia de comandos intercalada con este mismo valor:

<!-- Google Tag Manager -->
<script nonce='{SERVER-GENERATED-NONCE}'>(function(w,d,s,l,i){w[l]=w[l]||[];w[l].push({'gtm.start':
new Date().getTime(),event:'gtm.js'});var f=d.getElementsByTagName(s)[0],
j=d.createElement(s),dl=l!='dataLayer'?'&l='+l:'';j.async=true;j.src=
'https://www.googletagmanager.com/gtm.js?id='+i+dl;var n=d.querySelector('[nonce]');
n&&j.setAttribute('nonce',n.nonce||n.getAttribute('nonce'));f.parentNode.insertBefore(j,f);
})(window,document,'script','dataLayer','GTM-XXXXXX');</script>
<!-- End Google Tag Manager -->

Luego, Tag Manager propagará el nonce a cualquier secuencia de comandos que agregue a la página.

Existen otros enfoques para habilitar la ejecución de una secuencia de comandos intercalada, como proporcionar el hash de la secuencia de comandos intercalada en la CSP.

Si los enfoques recomendados de nonce o hash no son factibles, es posible habilitar la secuencia de comandos intercalada de Tag Manager agregando la directiva 'unsafe-inline' a la sección script-src-elem de la CSP.

No se recomienda el uso de 'unsafe-inline'. Antes de usar este enfoque, debes considerar cuidadosamente las consecuencias de seguridad de agregar esta directiva a la CSP.

El CSP debe permitir lo siguiente para usar este enfoque:

Directiva	Contenido
script-src-elem	https://www.googletagmanager.com 'unsafe-inline'
img-src	https://www.googletagmanager.com
connect-src	https://www.googletagmanager.com https://www.google.com

Nota: Algunas etiquetas cargan contenido de otros orígenes o les envían solicitudes, por lo que requieren el uso de directivas de CSP adicionales para funcionar correctamente.

Variables de JavaScript personalizadas

Debido a la forma en que se implementan las variables de JavaScript personalizadas, se evaluarán como undefined en presencia de una CSP, a menos que se proporcione la directiva 'unsafe-eval' en la sección script-src de la CSP.

Para evitar posibles vulnerabilidades de seguridad, usa 'unsafe-eval' solo cuando sea absolutamente necesario.

Directiva	Contenido
script-src	'unsafe-eval'

Nota: Las plantillas personalizadas son la alternativa recomendada a las variables de JavaScript personalizadas. Se pueden usar para crear etiquetas y variables personalizadas que no requieren el uso de 'unsafe-eval'.

Modo de vista previa

Para usar el Modo de vista previa de Google Tag Manager, la CSP debe permitir lo siguiente:

Directiva	Contenido
script-src-elem	https://www.googletagmanager.com https://tagmanager.google.com
style-src	https://www.googletagmanager.com https://tagmanager.google.com https://fonts.googleapis.com
img-src	https://www.googletagmanager.com https://ssl.gstatic.com https://www.gstatic.com
font-src	https://fonts.gstatic.com data:

Google Analytics

Para usar Google Analytics, la CSP debe permitir lo siguiente:

Directiva	Contenido
script-src-elem	https://www.googletagmanager.com
img-src	https://www.googletagmanager.com https://*.google-analytics.com https://*.google.com https://*.google.<TLD> https://*.g.doubleclick.net
connect-src	https://www.googletagmanager.com https://*.google-analytics.com https://*.google.com https://*.google.<TLD> https://*.g.doubleclick.net https://pagead2.googlesyndication.com
frame-src	https://www.googletagmanager.com

Nota: Cada dominio de nivel superior (TLD) de Google debe especificarse de forma individual, ya que la sintaxis de la CSP no permite el uso de comodines en el lado derecho del nombre de host. Puedes consultar la lista de todos los TLD de Google admitidos en https://www.google.com/supported_domains.

Nota: Lo anterior incluye los extremos que se requieren específicamente para las funciones publicitarias que usan las propiedades vinculadas a Google Ads, que recomendamos incluir durante la configuración inicial para que no sea necesario actualizar la CSP si vinculas Google Ads más adelante.

Para usar Google Analytics sin ninguna función de Google Ads, la CSP debe permitir lo siguiente:

Directiva	Contenido
script-src-elem	https://www.googletagmanager.com
img-src	https://www.googletagmanager.com https://*.google-analytics.com
connect-src	https://www.googletagmanager.com https://*.google-analytics.com https://*.google.com

Google Ads

Para usar una etiqueta de conversión, remarketing o vinculación de conversiones de Google Ads, el CSP debe permitir lo siguiente:

Directiva	Contenido
script-src-elem	https://www.googletagmanager.com https://www.googleadservices.com https://www.google.com
img-src	https://www.googletagmanager.com https://www.googleadservices.com https://googleads.g.doubleclick.net https://pagead2.googlesyndication.com https://www.google.com https://www.google.<TLD>
connect-src	https://www.googletagmanager.com https://www.googleadservices.com https://googleads.g.doubleclick.net https://pagead2.googlesyndication.com https://www.google.com https://www.google.<TLD> https://ad.doubleclick.net
frame-src	https://www.googletagmanager.com

Datos del usuario de Google Ads

Para usar los balizas de datos del usuario de Google Ads cuando se ejecutan en contextos seguros, la CSP debe permitir lo siguiente:

Directiva	Contenido
script-src-elem	https://www.googletagmanager.com
connect-src	https://www.google.com
frame-src	https://www.googletagmanager.com

El beacon de datos del usuario de Google Ads no se ejecuta en contextos no seguros, por lo que la configuración de la CSP en esos casos no es aplicable.

Floodlight

Para usar Floodlight, el CSP debe permitir lo siguiente:

Directiva	Contenido
img-src	https://www.googletagmanager.com https://ad.doubleclick.net https://ade.googlesyndication.com https://adservice.google.com
connect-src	https://pagead2.googlesyndication.com https://www.google.com https://www.googleadservices.com https://ad.doubleclick.net
frame-src	https://www.googletagmanager.com

Para usar secuencias de comandos personalizadas de Floodlight, la CSP también debe permitir lo siguiente (además de lo anterior):

Directiva	Contenido
frame-src	https://*.fls.doubleclick.net

Merchant Center

Para usar Merchant Center, el CSP debe permitir lo siguiente:

Directiva	Contenido
script-src-elem	https://www.googletagmanager.com
img-src	https://*.merchant-center-analytics.goog
connect-src	https://*.merchant-center-analytics.goog

Service worker

Para usar el Service Worker para la correlación avanzada, los balizas de datos del usuario y las conversiones de Anuncios, la CSP debe permitir lo siguiente:

Directiva	Contenido
frame-src	https://www.googletagmanager.com

Cómo solucionar problemas con Tag Assistant

Para solucionar problemas relacionados con la Política de Seguridad del Contenido (CSP), usa Tag Assistant. Tag Assistant mostrará la lista de recursos que bloquea tu Política de Seguridad del Contenido.

1. Abre Tag Assistant y, luego, ingresa la URL de tu sitio web. Se abrirá una nueva pestaña con tu sitio web.

2. Si la Política de Seguridad del Contenido de tu página bloquea un recurso, se mostrará un problema de CSP en la sección Problemas de la página de Tag Assistant.

   

3. Selecciona Ver problema junto al problema de la CSP para ver la lista de todos los recursos bloqueados en tu página.

4. Agrega todos los recursos bloqueados a tu política de seguridad del contenido.