6つのCSPエラーをゼロに：AdSenseのためのコンテンツセキュリティポリシーのデバッグ

何がブロックされているか推測するのではなく、以下の手順でリアルタイムに失敗を確認します：

1. 広告ブロックを無効にする（本物のCSPエラーが隠されてしまいます）。
2. DevToolsの Console（コンソール） タブを開く。
3. ページを読み込み、赤い「Refused to load...」エラーを探す。
4. ブロックされているすべてのドメインを書き留める。

本番環境のエラーだけを見ていると、開発環境特有の要件を見逃してしまいます。

開発中 (Next.js npm run dev) は、2つの追加許可が必要です：

1. unsafe-eval: Next.jsはホットリロード（HMR）のために eval() を使用します。
2. ws://localhost: Console Ninjaなどの拡張機能やHMRはWebSocketを使用します。

これらをブロックすると、ローカル開発環境が壊れてしまいます。

const isDev = process.env.NODE_ENV === "development";
const nonce = crypto.randomUUID().replace(/-/g, "");

const scriptSrc = [
  "'self'",
  `'nonce-${nonce}'`,
  isDev ? "'unsafe-eval'" : "", // 開発環境のみevalを許可
  "https://www.googletagmanager.com",
  // ... 他のドメイン
]
  .filter(Boolean)
  .join(" ");

const connectSrc = [
  "'self'",
  isDev ? "ws://localhost:* ws://127.0.0.1:*" : "", // 開発環境のみWebSocketを許可
  "https://www.google-analytics.com",
  "https://ep1.adtrafficquality.google", // AdSense SODAR endpoints
  "https://ep2.adtrafficquality.google",
  // ... 他のドメイン
]
  .filter(Boolean)
  .join(" ");

試行錯誤の結果、Google AdSenseが実際に必要とするドメインのリストは以下の通りです：

• script-src: googletagmanager.com, google-analytics.com, pagead2.googlesyndication.com, fundingchoicesmessages.google.com
• connect-src: googleads.g.doubleclick.net, tpc.googlesyndication.com, fundingchoicesmessages.google.com, ep1.adtrafficquality.google, ep2.adtrafficquality.google
• frame-src: googleads.g.doubleclick.net, tpc.googlesyndication.com, fundingchoicesmessages.google.com, ep1.adtrafficquality.google, ep2.adtrafficquality.google

注：ワイルドカードは可能な限り避け、実際のコンソールエラーを確認してから必要最小限で追加してください。

開発環境（HMR）と本番環境（AdSense）の両方に対応した、src/proxy.ts の最終設定がこちらです：

const nonce = crypto.randomUUID().replace(/-/g, "");
const isDev = process.env.NODE_ENV === "development";

const scriptSrc = [
  "'self'",
  `'nonce-${nonce}'`,
  "'strict-dynamic'",
  "https://www.googletagmanager.com",
  "https://www.google-analytics.com",
  "https://pagead2.googlesyndication.com",
  "https://fundingchoicesmessages.google.com",
  "https://tpc.googlesyndication.com",
  "https://googleads.g.doubleclick.net",
  isDev ? "'unsafe-eval'" : "",
]
  .filter(Boolean)
  .join(" ");

const connectSrc = [
  "'self'",
  "https://www.google-analytics.com",
  "https://region1.google-analytics.com",
  "https://www.googletagmanager.com",
  "https://pagead2.googlesyndication.com",
  "https://googleads.g.doubleclick.net",
  "https://adtrafficquality.google",
  "https://ep1.adtrafficquality.google",
  "https://ep2.adtrafficquality.google",
  "https://fundingchoicesmessages.google.com",
  "https://challenges.cloudflare.com",
  isDev ? "ws://localhost:* ws://127.0.0.1:*" : ,
]
  .()
  .();

 csp = [
  ,
  ,
  ,
  ,
  ,
  ,
  ,
].();