Neu Shop 4 Paypal: Statt Zahlungsart Paypal Plus wird Fehler "forbidden" angezeigt

[Belushi]

Shop 4.06 Build 17, PP-Plugin 1.13
Trotz frisch aktualisiertem PP-Plugin (war zuvor 1.11) können wir Paypal Plus nicht im Shop verwenden:
Die Statusseite des Plugins zeigt alles grün, PP ist auch Live geschaltet, die Versandarten sind konfiguriert... aber sobald man auf die Seite "Zahlungs und Versandkarten" kommt, wird statt Paypal lediglich ein rotes Dreick mit Ausrufezeichen und der Beschriftung "forbidden" angezeigt. Die anderen Zahlungsarten funktionieren.
Dazu bekommt man im Browser diesen Fehler:

"Content Security Policy: Die Einstellungen der Seite haben das Laden einer Ressource auf https://www.paypalobjects.com/web/res/123/98765432*********fdeed80ee94 blockiert ("base-uri")."
Alle Logs sind sauber.
Paypal Express funktioiniert aber!!

Ähnliche Fehler tauchen hier im Forum aktuell bei Shop 5 auf, eine eindeutige Lösung konnte ich aber nicht finden. Zumal die auch vermutlich Shop 5 spezifisch wäre.

Hat irgendjemand eine Idee??

PS: Weiß außerdem jemand, warum das Update vom Provider händisch gemacht werden musste? Weder Version 1.12 noch 1.13 wurden beim Upload über den Plugin-Manger erkannt (trotz erfolgreichem Upload) und als Update angeboten...

 

[hula1499]

"Content Security Policy: Die Einstellungen der Seite haben das Laden einer Ressource auf https://www.paypalobjects.com/web/res/123/98765432*********fdeed80ee94 blockiert ("base-uri")."

Das ist - soweit ich weiss - die Befolgung einer Anweisung aus deine htaccess.
Schau dir mal an, was du da alles bei CSP eingetragen/nicht eingetragen hast.

 

[Belushi]

Ich selber hab da garnichts gemacht, aber ich frag mal unserem Provider.
Danke für den Tipp!
Ich melde mich nach Ostern, ob das was gebracht hat!

 

[hula1499]

Dein Provider macht nichts in der Shop htaccess, ausser er wartet auch deinen Shop.

Mach mal die htaccess in deinem Root-Shopverzeichnis auf und schau ob du da irgendwas mit policy zeug drinnen hast.

 

[Belushi]

Naja, ist Shop- Hosting auf Mietserver. Also indirekt ja.

Aber zum Thema:
Das einzige zum Thema Access-Control ist das hier:
Werd ich aber 0 schlau draus

<IfModule mod_setenvif.c>
<IfModule mod_headers.c>
<FilesMatch "\.(bmp|cur|gif|ico|jpe?g|png|svgz?|webp)$">
SetEnvIf Origin ":" IS_CORS
Header set Access-Control-Allow-Origin "*" env=IS_CORS
</FilesMatch>

SetEnvIfNoCase ^(Accept-EncodXng|X-cept-Encoding|X{15}|~{15}|-{15})$ ^((gzip|deflate)\s*,?\s*)+|[X~-]{4,13}$ HAVE_Accept-Encoding
RequestHeader append Accept-Encoding "gzip,deflate" env=HAVE_Accept-Encoding
</IfModule>
</IfModule>

 

[hula1499]

Bin noch nicht beim neuen PP dran am DEV, von daher kenn ich die genauen Anforderung, was alles von dem Mist geladen werden will nicht, aber so als Anhaltspunkt:

Header add Content-Security-Policy "object-src 'self' 'unsafe-inline' 'unsafe-eval' https://www.paypal.com https://www.paypalobjects.com;"

Nachtrag:
Sollte es so funktionieren, Verwendung auf eigenes Risiko...mach dich mit unsafe-X und object-src vertraut, bevor du es wirklich live einsetzt.

 

[Belushi]

Ok, das klingt zumindest mal nach nem Plan!!

Ich leite das mal an Ecom weiter, bisher konnten die bei ähnlichen Problemen immer weiterhelfen!

1000 Dank erstmal!