Se il tuo sito ha una propria **Content-Security-Policy (CSP)**, il widget vocale necessita degli stessi permessi già richiesti dalla chat web (Manuale 06), più l'origine propria del fornitore della chiamata: - Consenti il **CDN del widget** in `script-src` (l'URL esatto dello snippet che hai copiato, paragrafo 2). - Consenti l'**origine dell'infrastruttura voce** in `connect-src` (e, se la tua CSP lo richiede esplicitamente, `media-src`) — il tuo fornitore ti conferma l'URL esatto se la tua CSP è restrittiva. - L'iframe dell'orbe necessita del permesso di **microfono**: se incorpori lo snippet dentro un altro iframe tuo (poco comune), assicurati che quell'iframe dichiari `allow="microphone"` — lo snippet del widget lo fa già per te nel caso normale (incollato direttamente nel tuo sito). Il resto del comportamento tecnico (isolamento dell'origine, attestazione, e il fatto che il browser del visitatore non riceve MAI credenziali di sessione interne) è lo stesso modello di sicurezza già usato dal widget di chat — nulla in più da configurare oltre alla CSP sopra.