Trang có Content-Security-Policy

Trang này khai báo script-src 'self' https://cdn.example.com. Vì widget ở đây tải từ cùng origin (/onduty.js) nên vẫn chạy. Trên site thật, script tải từ https://onduty.goecomaz.com sẽ bị chặn nếu CSP của host không liệt kê origin đó, console hiện "Refused to load the script".

Hướng dẫn cài cho host có CSP: thêm hai origin vào chính sách.

script-src ... https://onduty.goecomaz.com;
connect-src ... https://onduty.goecomaz.com;

Để thấy lỗi thật, sửa dòng script bên dưới thành một origin khác (ví dụ http://127.0.0.1:3100) rồi mở lại trang và xem console.