Analytics embedding: "Refused to frame" probleem oplossen

Samenvatting

ThoughtSpot lost het Refused to frame-probleem op met twee allowlists voor embedding en API-aanroepen.

ThoughtSpot en het Refused to frame-probleem

Een leeg iframe en een consolemelding over een schendende ancestor wijzen erop dat ThoughtSpot het domein van de applicatie niet toestaat om de analytics-pagina te tonen. De oplossing staat in Develop > Customizations > Security settings: voeg het applicatiedomein toe aan CSP visual embed hosts én aan CORS whitelisted domains.

Beheerders of developers mogen deze lijsten aanpassen. Een geldige embedlicentie is nodig om Visual Embed-hosts toe te voegen. Met ThoughtSpot Cloud 26.2.0.cl kunnen beide lijsten ook via de REST API worden ingesteld. De controle is nagegaan tegen de documentatie voor ThoughtSpot Cloud 26.10.0.cl en Chromium 141 uit oktober 2026.

Waarom CSP en CORS belangrijk zijn

De twee instellingen hebben elk een andere taak. CSP frame-ancestors bepaalt welke websites ThoughtSpot in een iframe mogen tonen. CORS bepaalt vanaf welke origins de browser API-aanroepen naar ThoughtSpot accepteert. Voor Visual Embed zijn doorgaans beide lijsten nodig: het iframe gebruikt de CSP-regel, terwijl de SDK API-calls via CORS uitvoert.

Dat onderscheid helpt bij het onderzoeken van fouten. Ontbreekt het domein in de CSP-lijst, dan blijft het iframe leeg. Ontbreekt het in de CORS-lijst, dan mislukken API-aanroepen met een CORS-fout. ThoughtSpot beheert CORS per Org, terwijl CSP voor de volledige instantie kan gelden wanneer je All Orgs gebruikt.

Bij een toolvergelijking telt daarom niet alleen de embed-SDK. Controleer ook wie domeinen mag toestaan, of elke tenant een eigen API-allowlist kan krijgen en welke CSP-instellingen je in de eigen applicatie moet aanpassen.

Concrete takeaway voor analytics embedding

Controleer eerst beide ThoughtSpot-allowlists en gebruik exact de vereiste domeinindeling voor elke lijst. Leg die configuratie daarna vast via de REST API wanneer meerdere Orgs of klantomgevingen dezelfde embedinstellingen nodig hebben. Test afzonderlijk het iframe en de API-aanroepen; hun foutmeldingen wijzen naar verschillende oorzaken.