htaccess: SameOrigin-Policy mittels CORS aufbohren für die Scriptausführung von Matomo-Analytic

    Das Folgende ist für jeden wichtig, der zwei oder mehr Joomla-Websites mit einer einzigen Installation der Analysesoftware Matomo erfassen will. Sehr viele Besucher werden nicht erfasst, wenn man die "SAme-Origin-Policy" vergisst.


    Folgende Situation:

    Die bekannte Analyse-Software Matomo, die ich auf einer eigenen Domain laufen habe, soll natürlich auch für die Analyse meiner anderen Websites genutzt werden. Diese Websites liegen aber auf anderen Domains. Also muss das Script, das auf der zu analysierenden Site liegt, auf die Domain mit Matomo zugreifen können.


    Man kann das Matomo-Script nun als Inline-Script in die template.php einfügen oder aber das Script in eine separate JS-Datei packen und in der template.php includieren. Aber das löst das Problem leider nicht.


    Denn es stehen zwei andere Dinge im Weg:

    1.) auf meiner htaccess habe ich die X-FRame-Options auf "SAMEORIGIN" gesetzt und die X-Permitted-Cross-Domain-Policies auf "none"


    2.) Immer mehr Besucher haben in ihren Browsern PlugIns / Addons installiert, wie uBlockOrigin und uMatrix. Diese verhindern logischer Weise, dass in der geöffneten Webseite Scripte gestartet oder Inhalte heruntergalden werden, die auf einer anderen Domain liegen.


    Die htaccess kann ich ändern und die URL zu meiner Matomo-Domain durch lasse:

    Code
    Header set Content-Security-Policy "default-src 'self' 'unsafe-inline' https://meine-matomo-domain.de

    und

    Code
    Header set X-Permitted-Cross-Domain-Policies https://meine-matomo-domain.de

    Bei der o.g. Zeile zu X-Permitted... bin ich aber im Zweifel, ob dies im Sinne von CORS eine Ausnahmeregel darstellt oder ob ich zwingend noch Parameter angeben muss. Die Hilfen zur korrekten Syntax sind für mich ziemlich schwer heraus zu finden: https://developer.mozilla.org/en-US/docs/Web/HTTP/CORS


    Aber ich überlege gerade auch, dass ich mir den Aufwand betr. CORS in der htaccess sparen kann, wenn ich wüsste, dass trotz CORS Freigabe der Matomo-Domain immer noch uBlockOrigin oder ähnliche PlugIns die Ausführung des Matomo-Script verhindern würden.


    Ich weiß, dass meine Frage hier schon etwas sehr speziell ist und nur indirekt mit Joomla zu tun hat. Da aber die meisten hier sich eine funktionierende Matomo-Analyse wünschen, werden viele ein ähnliches Problem haben. Und so gesehen ist meine Frage im Joomla-Forum vielleicht doch eine gute Idee oder diese Schwierigkeit schon für sich gut lösen können?