javascript - JavaScript でのセキュリティ ポリシーのアクセス許可のトレース

Question

次のヘッダーを設定したにもかかわらず：

Access-Control-Allow-Origin: *
Content-Security-Policy: default-src 'self' 'unsafe-inline' *.speech.is http://bits.speech.is https://bits.speech.is http://speech.is

JavaScript がまだ iframe.contentWindow.document へのアクセスをブロックしています:

Error: Permission denied to access property 'document'

speech.contentWindow.documentat の後の Firefox コンソールからhttp://bits.speech.is。Chrome では、より冗長でありながら不可解な結果が得られます。

SecurityError: Blocked a frame with origin "http://bits.speech.is" from accessing a frame with origin "http://208.113.212.187". Protocols, domains, and ports must match.
code: 18
message: "Blocked a frame with origin "http://bits.speech.is" from accessing a frame with origin "http://208.113.212.187". Protocols, domains, and ports must match."
name: "SecurityError"
stack: "Error: Blocked a frame with origin "http://bits.speech.is" from accessing a frame with origin "http://208.113.212.187". Protocols, domains, and ports must match.↵    at <anonymous>:2:21↵    at Object.InjectedScript._evaluateOn (<anonymous>:580:39)↵    at Object.InjectedScript._evaluateAndWrap (<anonymous>:539:52)↵    at Object.InjectedScript.evaluate (<anonymous>:458:21)"

このセキュリティ ポリシーが設定されている場所を追跡する方法はありますか? 他に何が欠けているかをどのように把握しますか?