TapCub 正式上线:统计、分析、客服一个平台免费用
帮助中心

TapCub 需要哪些内容安全策略(CSP)规则?

如果网站发送了 Content-Security-Policy 响应头,要在 script-src 里放行 TapCub 脚本的域名,在 connect-src 里放行采集域名。怎么发现被拦截,以及该用哪些域名。

快速开始1 分钟阅读最后更新 2026 年 11 月 4 日TapCub 团队所属指南: 在网站上安装 TapCub

简短回答

把 TapCub 脚本域名(美洲区域是 https://static.pathclue.com)加进 script-src,把采集域名(https://api.pathclue.com)加进 connect-src。少了 connect-src,脚本能加载却什么都发不出去,页面上也不会报错。

要加的规则

内容安全策略(CSP)告诉浏览器,页面可以从哪些域名加载脚本、往哪些域名发送数据。TapCub 需要两条:

指令域名用途
script-srchttps://static.pathclue.com加载统计脚本
connect-srchttps://api.pathclue.com发送浏览和事件

例如:

script-src  'self' https://static.pathclue.com
connect-src 'self' https://api.pathclue.com

这是美洲区域的域名。其他区域用同样的名字加区域后缀,比如 static-eu 和 api-eu。以 网站统计配置SDK 代码 里代码上的域名为准。

身份、全埋点、错误和回放这些扩展,和脚本从同一个目录加载,script-src 那条规则已经覆盖。如果还用了在线客服,需要额外的域名,见开发者文档。

怎么判断是 CSP 拦了

  • 实时页面一直是空的,而页面源码里明明有代码。
  • 浏览器控制台出现 CSP 违规提示,指出 script-src 或 connect-src。
  • 网络面板里没有发往采集域名的请求。被 connect-src 拦住时,发送会悄悄失败,页面上不会出现任何报错。

最常见的错误是只把脚本域名加进了 script-src,忘了 connect-src:脚本加载了,却什么都发不出去。

用 meta 标签或平台设置的策略

策略可能来自响应头、<meta http-equiv="Content-Security-Policy"> 标签、框架配置或托管服务商。在策略定义的地方加上这些域名。如果先用 report-only 模式,切换到强制执行之前,先看看报告里有没有 TapCub 的域名。

确认装好了

刷新页面,看控制台有没有违规提示,再打开 网站统计实时。还是看不到这次访问的话,按步骤确认数据有没有进来。

另见:广告拦截会不会拦 TapCub、检查安装。

这篇回答解决你的问题了吗?

我们会根据反馈修改和补充这篇内容。

看清数据,找到增长。

每一次点击,都有数据依据。装好一行代码,1 分钟看到第一批数据。

无需信用卡 · 统计与客服都有免费版 · 统计无 Cookie