Campaign Studio

Si l'iframe reste blanche — les trois causes, dans l'ordre

• CSP frame-ancestors — le Studio doit lister https://host-test.skynet.hacktopie.net dans MADCRM_EMBED_FRAME_ANCESTORS. Signature : erreur console « Refused to frame… », et l'app a pourtant répondu 200 (rien d'anormal dans ses logs).
• Filtrage IP de l'embed — nginx compare $remote_addr, qui est ici l'IP de ton navigateur, pas celle de ce serveur. Une IP absente de l'allowlist donne un 403. C'est la limite connue du montage : ce test vaut pour nos IP, pas pour un visiteur quelconque.
• Clé d'hôte — sans ?key=, le Studio répond 401 (ou 503 si aucune clé n'est configurée côté serveur). La clé n'est jamais écrite dans cette page : tu la saisis, elle reste dans sessionStorage, elle n'est pas déployée.

Le parent ne peut pas lire le contenu d'une iframe cross-origin : cette page ne peut donc pas t'afficher le vrai code HTTP. Pour le voir, ouvre l'URL ci-dessus dans un onglet, ou regarde l'onglet Réseau.