Открываете в браузере инструменты разработчика, потом открываете требуемую страницу и смотрите что откуда подгружается. Далее добавляете всё это в whitelist.
По умолчанию пользователь и так ограничен на записью только домашним каталогом. Если нужно что бы он не могу читать ничего дальше домашнего каталога - есть chroot.