@mangi-1 allora.. ho trovato la soluzione erano gli header http in joomla che abilitati per motivi di sicurezza non permettevano i popup:
praticamente era come da foto allegata
se impostata su same origin non permetteva il caricamento di codice "remoto" come giusto che sia.
bhe insomma facebook dovrebbe cambiare questo tipo di approccio come ad esempio google fa con il tag manager

@jabba per bitdefender anche io ho trovato che da questo avviso, non so perchè, ad esempio con kaspersky nessun problema, cmq si l'ip è corretto, gestisco il server direttamente in ufficio con una fibra vodafone.
non ho virus, ma ho sul sito un exe che faccio scaricare ai miei clienti per connettermi in remoto e fargli assistenza pc, è un software in selfhosting selfsigned chiamato meshcentral, immagino sia per questo che da l'alert.
Detto questo, ho un proxy che mi gestisce tutto questo (nginx proxy manager) e so che dovranno modificare/aggiornare un pò di cose per non dare piu problemi.