En un juego instantáneo de Facebook, trato de recuperar la identificación, la foto y la firma del jugador, y luego redirijo a mi propio servidor que verificaría la firma y luego mostraría el juego HTML5.

Aquí está la parte Javascript de mi index.html, que subo como paquete de juegos instantáneos de Facebook:

 <script src="//connect.facebook.net/en_US/fbinstant.7.0.js"></script> <script> window.onload = function() { FBInstant.initializeAsync().then(function() { FBInstant.startGameAsync().then(onStart); }); }; function onStart() { FBInstant.player.getSignedPlayerInfoAsync('my_metadata') .then(function (result) { var lang = 'en'; var photo = FBInstant.player.getPhoto(); var sig = result.getSignature(); location.href = 'https://wordsbyfarber.com/' + lang + '/facebook?sig=' + encodeURIComponent(sig) + '&photo=' + encodeURIComponent(photo) ; }).catch(ex => { console.log(ex); }); } </script>

Luego, en Configuración / Avanzado / Lista de permitidos de dominio de redireccionamiento compartido, agrego el dominio de mi servidor backend del juego:

Sin embargo, esto no ayuda: cuando se ejecuta el juego instantáneo, en la consola veo el error:

Se negó a enmarcar 'https://wordsbyfarber.com/' porque infringe la siguiente directiva de Política de seguridad de contenido: "frame-src *.doubleclick.net *.google.com *.facebook.com www.googleadservices.com *.fbsbx .com fbsbx.com datos: www.instagram.com *.fbcdn.net https://paywithmybank.com".

Y el contenido de iframe servido por mi servidor backend no se muestra en el navegador:

Entiendo que Facebook está publicando un encabezado HTTP de política de seguridad de contenido que no permite que mi servidor backend del juego...

¿Es mi configuración posible para juegos instantáneos? ¿He pasado por alto alguna configuración?