Strikte CSP zonder unsafe-inline: wacht op Forgejo PR #12247 #47

New issue

Open

opened 2026-06-04 11:41:09 +00:00 by roos.groot · 0 comments

roos.groot commented

2026-06-04 11:41:09 +00:00

Forgejo werkt nog niet met een strikte Content-Security-Policy. Daarom staat script-src 'unsafe-inline' in de CSP van code.overheid.nl. Internet.nl en de streefbeeldafspraak vragen een strikte CSP (zie #11).

De fix staat upstream klaar: https://codeberg.org/forgejo/forgejo/pulls/12247 ("Make forgejo CSP happy", door @jan.klopper). Status op 2026-10-02: open, niet gemerged, label test/needed.

Als de PR in een Forgejo-release zit:

Upgrade code.overheid.nl naar die release.
Haal 'unsafe-inline' uit script-src.
Test de ster-, volg- en @mention-knoppen (zie #26 en #27).

Oorspronkelijke beschrijving

Of een migratie uitvoeren naar 1.15 en patch toevoegen, of de release van 1.16 afwachten.
Contact opnemen met Forgejo wanneer de release wordt verwacht.

Forgejo werkt nog niet met een strikte Content-Security-Policy. Daarom staat `script-src 'unsafe-inline'` in de CSP van code.overheid.nl. Internet.nl en de streefbeeldafspraak vragen een strikte CSP (zie #11). De fix staat upstream klaar: https://codeberg.org/forgejo/forgejo/pulls/12247 ("Make forgejo CSP happy", door @jan.klopper). Status op 2026-10-02: open, niet gemerged, label `test/needed`. Als de PR in een Forgejo-release zit: 1. Upgrade code.overheid.nl naar die release. 2. Haal `'unsafe-inline'` uit `script-src`. 3. Test de ster-, volg- en @mention-knoppen (zie #26 en #27). --- **Oorspronkelijke beschrijving** > Of een migratie uitvoeren naar 1.15 en patch toevoegen, of de release van 1.16 afwachten. > Contact opnemen met Forgejo wanneer de release wordt verwacht.