Noviembre de 2026, 2.6.8: Actualización de CS P (Política de seguridad de contenido) para el widget Paradox

Updated at October 16th, 2026

+ More

Antes del lanzamiento del widget el 10 de noviembre de 2026, los clientes con políticas de seguridad de contenido ( CS ) personalizadas que previamente incluyeron olivia.paradox.ai en la lista blanca deben actualizar su directiva connect-src para cubrir *.paradox.ai .

Nota importante :

La configuración CS P está totalmente determinada y gestionada por las políticas de seguridad de su organización. Dado que Paradox no tiene acceso administrativo a los encabezados de seguridad de su sitio web (a menos que se trate de un sitio de empleo propiedad Paradox o gestionado por esta), cualquier actualización CS P debe ser realizada directamente por su equipo de TI, Seguridad o Desarrollo Web .

¿Por qué es necesaria esta actualización?

Para garantizar que la comunicación API y las conexiones WebSocket funcionen sin infringir las restricciones CS P, agregue nuestro dominio a los encabezados de la Política de Seguridad de Contenido ( CS P) de su servidor web o CMS :

Cronogramas :

El 10 de noviembre de 2026 se lanzará la versión 2.6.8 , fecha en la que se implementará el nuevo widget que llama directamente al backend de Olivia en api.paradox.ai en los entornos de producción y pruebas.

Dominios para incluir en la lista blanca :

*.paradox.ai (incluye subdominios como olivia.paradox.ai y api.paradox.ai ).

Si el cliente no puede permitir un comodín *.paradox.ai, entonces las directivas CS P específicas que se deben incluir serán las siguientes: olivia.paradox.ai , api.paradox.ai y cdn.olivia.paradox.ai .

Directiva CS P requerida para actualizar :

connect-src — Permite llamadas a la API y conexiones WebSocket.

Ejemplo 1: Encabezado completo detallado / Objeto de configuración JS (Dominio + Protocolo)

contentSecurityPolicy: {
  'default-src': ["'self'"],
  'connect-src': [
    "'self'",
    'https://olivia.paradox.ai',
    'https://api.paradox.ai',
    'wss://ws.paradox.ai'
  ],
  'script-src': [
    "'self'",
    'https://olivia.paradox.ai',
    'https://cdn.olivia.paradox.ai'
  ],
  'img-src': [
    "'self'",
    'https://olivia.paradox.ai',
    'https://cdn.olivia.paradox.ai'
  ],
  'style-src': [
    "'self'",
    'https://olivia.paradox.ai',
    'https://cdn.olivia.paradox.ai'
  ]
}

Ejemplo 2: Permitir todo desde Paradox (Configuración rápida y breve)

contentSecurityPolicy: {
  'default-src': ["'self'"],
  'connect-src': [
    "'self'",
    '*.paradox.ai'
  ],
  'script-src': [
    "'self'",
    '*.paradox.ai'
  ],
  'img-src': [
    "'self'",
    '*.paradox.ai'
  ],
  'style-src': [
    "'self'",
    '*.paradox.ai'
  ]
}

Ejemplo 3: Implementación detallada de la etiqueta meta HTML

Si su sitio aplica una Política de Seguridad de Contenido ( CS ) mediante una etiqueta HTML <meta> , agregue nuestro dominio a la directiva connect-src :

HTML

<meta 
  http-equiv="Content-Security-Policy" 
  content="
    default-src 'self';
    connect-src 'self' https://olivia.paradox.ai https://api.paradox.ai wss://ws.paradox.ai https://ai-paradox-prod-use1-mediaservice.s3.us-east-1.amazonaws.com;
    script-src 'self' https://olivia.paradox.ai https://cdn.olivia.paradox.ai;
    img-src 'self' https://olivia.paradox.ai https://cdn.olivia.paradox.ai;
    style-src 'self' https://olivia.paradox.ai https://cdn.olivia.paradox.ai;
  "
>

Ejemplo 4: Implementación de la etiqueta meta HTML, permitir todo desde Paradox (configuración rápida y breve)

HTML

<meta 
  http-equiv="Content-Security-Policy" 
  content="
    default-src 'self';
    connect-src 'self' *.paradox.ai;
    script-src 'self' *.paradox.ai;
    img-src 'self' *.paradox.ai;
    style-src 'self' *.paradox.ai;
  "
>

Si utiliza un creador de sitios web CMS o ATS (por ejemplo, SAP SuccessFactors, Workday, Adobe Experience Manager), añada *.paradox.ai en el panel de Dominios permitidos personalizados / Configuración de seguridad de su plataforma.

Preguntas frecuentes (FAQ)

Alcance: quiénes se ven afectados

¿Este cambio afecta únicamente a los clientes de Career Sites o a todos los clientes con widgets personalizados en cualquier sitio web?

Todos los clientes que tengan un widget en su sitio web de empleo deberán realizar este cambio. Sin embargo, para los clientes que utilicen Paradox Career Sites, el cambio se aplicará automáticamente.

Si un cliente tiene CS P desactivada, ¿necesita realizar algún cambio?

No. Si CS P está desactivado, no es necesario realizar ningún cambio.

Si un widget no se encuentra en el sitio web de empleo del cliente (que no está alojado en Paradox ), ¿es necesario realizar alguna acción?

Solo es necesario actualizar el destino final donde se encuentra el widget. Si el CS P del sitio anfitrión no bloquea nada, no hay que hacer nada. Sin embargo, muchos sitios sí bloquean por reglas, por lo que se notifica a todos los clientes para que lo comprueben.

¿Esto se aplica si un cliente utiliza un feed XML que redirige a los candidatos a su sitio web de ofertas de empleo?

Sí, pero solo afecta al destino final: el sitio web de la lista de empleos donde reside realmente el widget.

Si un cliente tiene un sitio web de empleo alojado Paradox , ¿su equipo de TI aún necesita tomar medidas?

Los clientes no necesitan hacer nada en los sitios web de empleo Paradox , ya que estos ya han sido actualizados.

¿Afecta esto a los clientes cuya experiencia no incluye un widget alojado en su sitio web?

Se ha comprobado caso por caso: cuando no hay ningún widget en el propio sitio web, no hay ningún impacto.

Detalles técnicos: dominios y directivas

¿Por qué es necesario este cambio? ¿Cuál es la base técnica?

La aplicación, que antes se servía íntegramente desde olivia.paradox.ai, se ha dividido en dos partes: la interfaz de usuario (olivia.paradox.ai) y el backend/API (api.paradox.ai). El widget ahora llamará a api.paradox.ai en lugar de a olivia.paradox.ai. Los sitios con normas estrictas CS que solo permiten olivia.paradox.ai bloquearán esta nueva llamada a menos que amplíen su lista de permitidos.

¿Cuáles son los dominios exactos que los clientes deben permitir si no pueden usar un comodín?

olivia.paradox.ai (connect-src, script-src, style-src e img-src)
cdn.olivia.paradox.ai (script-src, style-src e img-src)
api.paradox.ai (connect-src)
ws.paradox.ai (connect-src)

Si un cliente agrega el comodín *.paradox.ai, ¿eso cubre todo?

Sí. *.paradox.ai abarca todos los subdominios de paradox.ai , incluidos olivia.paradox.ai, api.paradox.ai , ws.paradox.ai y cdn.olivia.paradox.ai . Este es el enfoque recomendado para los clientes que prefieren la comodidad a una lista estricta y detallada.

¿Se seguirá utilizando cdn.olivia.paradox.ai una vez que se produzca el cambio a api.paradox.ai?

Sí, los demás dominios seguirán recibiendo soporte.

¿Esta actualización utiliza alguna conexión WebSocket (wss) que requiera una entrada CS P separada?

*.paradox.ai también cubre las conexiones WebSocket, a menos que el cliente quiera usar esquemas específicos, en cuyo caso necesitaría que tanto https://*.paradox.ai como wss://*.paradox.ai se listaran por separado.

¿Qué ocurre si un sitio no tiene ninguna directiva connect-src configurada (por ejemplo, ninguna restricción CS P)?

Si no existe ninguna regla de bloqueo, no es necesario hacer nada.

El sitio web de un cliente (SAP Career Site) solo admite la inclusión en la lista blanca del dominio CS P, no una anulación de connect-src, y ya incluye en la lista blanca https://olivia.paradox.ai, wss://ws.paradox.ai y https://cdn.olivia.paradox.ai. ¿Solo necesitan añadir el nuevo dominio?

Sí, añade api.paradox.ai a su lista de permitidos existente.

Un cliente afirma que su plataforma (SAP) es demasiado restrictiva para añadir dominios individuales. ¿Existe alguna otra guía al respecto?

Si el cliente prefiere la comodidad a mantener una lista estricta, puede reemplazar sus entradas detalladas con un solo comodín. *.paradox.ai .

¿Es necesario que el cliente también actualice el CS P en su sitio de prueba si el widget también está alojado allí?

Sí, se recomienda la misma actualización de *.paradox.ai para las políticas del sitio de prueba, no solo para el de producción.

Privacidad y seguridad de los datos

Se está utilizando una cookie de configuración temporal exclusivamente para identificar las cuentas afectadas. No rastrea la actividad de los candidatos ni recopila datos personales, y se eliminará por completo una vez finalizada la implementación. No hay implicaciones adicionales ni cambios en los datos de los candidatos.

Cronograma de lanzamiento y pruebas

¿Se lanzará esto en el entorno de pruebas (STG) antes de su lanzamiento en producción, o STG y PROD se lanzarán al mismo tiempo?

Primero se lanzará en fase de pruebas, como siempre se ha hecho con los lanzamientos, dando a los clientes la oportunidad de probarlo antes del lanzamiento oficial el 10 de noviembre de 2026.

LTS STG - 28 de octubre
STG - 10 de noviembre
Fecha de lanzamiento de la producción: 10 de noviembre

Comunicaciones con el cliente

¿Qué clientes reciben las comunicaciones automáticas por correo electrónico sobre este cambio?

Solo los clientes que se hayan registrado a través del formulario de registro de HubSpot recibirán las comunicaciones por correo electrónico. Se solicitó a los equipos que confirmaran que sus contactos técnicos clave estuvieran registrados.

¿Se puede actualizar el correo electrónico estándar para indicar a los clientes franquiciados que no utilizan un widget de JavaScript que lo ignoren?

Dado que muchos clientes de franquicias utilizan el widget (tanto en sitios web de empleo Paradox Paradox como en otros), resulta difícil identificar con certeza quién puede ignorar el aviso. El equipo se comprometió a aclarar esta directriz durante la capacitación de lanzamiento y en el último recordatorio, en lugar de modificar el correo electrónico masivo.