Настройка CSP - Content Security Policy

сейчас больше всего блокируются такие домены:

dl.metabar.ru - больше всего

cr-input.mxpnl.net - больше всего

adblockers.opera-mini.net

minxxrpaaw.org

www.googletagmanager.com

interceptedby.admuncher.com

ff-input.mxpnl.net

icontent.us

www.googletagservices.com

addbin.men

m59.prod2016.com

На сайте стоит гугл аналитика, adsense, рся, комментарии ВК

Что-то есть нужное в блокируемых доменах? m59.prod2016.com вызывается из http://pagead2.googlesyndication.com/pagead/js/adsbygoogle.js, что странно, т.к. никакой инфы о нём не нашёл

здравствуйте, на сайте стоит блок тизерной сеты tovarro.com и CSP блокирует обход адблок. Сам по себе блок работает, но только включу адблок пропадает хотя должен бить. В консоле видает вот такое http://joxi.ru/LmGqBjLcegOdqA

Что делать ?

У меня то же самое. И что с этим делать? Разрешать все домены? Вот только как маску прописать?

Форумчане привет!

Нашел сегодня в метрике кучу переходов на непонятные источники - и ссылок таких нет на сайте. И вот методом "Google в помощь" пришел к внедрению CSP. (раньше с этим не сталкивался, до сих пор не до конца понимаю суть). Да и не хочу понимать до конца.

Мож кто поможет быстрым ответом, чтобы с головой не погружаться в изучение метода, который не факт что вообще пригодится.

Вопросов у меня собственно парочка:

1. CSP можно ли внедрить без SSL?

2. Если на сайт планируется в скором будущем внедрение SSL, то есть ли смысл сейчас морочить себе мозг на внедрение CSP?

Прошу прощения у тех ранимых душ, чьи сердца я беспощадно ранил своим некомпетентным вопросом.

Просто не очень хочется глубоко внутрь технических нюансов Content Security Policy (особенно если он мне в конкретном случае не нужен). Ну а если мне авторитетные тут парни скажут что нужен - тогда придется вникать, ниче не поделаешь.

В общем умоляю на Вашу отзывчивость, уважаемые таки форумчане

на оба вопроса да

Насколько сейчас актуально настраивать CSP, если на сайте только AdSense?

Через два года использования случайно удалил все связанное с CSP из .htaccess. И что же?! Проверил: за месяц всего несколько переходов на подозрительные сайты, не то что пару лет назад до настройки CSP.

При переходе на сайт по ссылке из Инстаграм в разделах где видео блокируется "android-webview-video-poster" по img-src.

Проверял сам - видео показывается, всё нормально но таки что лучше - разрешить android-webview-video-poster или и фиг с ним ?

https://www.youtube.com просится в default-src хотя он разрешён в script-src и в child-src.

На сайте видео i-frame ютубовские есть и они нормально показываются.

Пускать в default-src ?

я вообще у себя давно оставил один раздел default-src и всё свалил туда. Может это немного хуже, но проще в разы и сайт грузится чуть быстрее.

Попробовал разобраться сам, но не все получилось. Друзья после установки CSP в .htaccess

На сайте пропали Коментарии вконтакте, Хотя в правила вроде прописал. Подскажите пожалуйста, что не так делаю?

У меня joomla 3.6, плагин комментариев JoomLine VK comments

Код:

<IfModule mod_headers.c>

Header set Content-Security-Policy "default-src 'self' *.musite.ru musite.ru; script-src 'self' 'unsafe-inline' 'unsafe-eval' *.musite.ru musite.ru *.yandex.ru yandex.ru *.yandex.net yandex.st *.yandex.st https://*.yandex.ru *.googleapis.com *.gstatic.com gstatic.com *.googlesyndication.com *.doubleclick.net https://*.googleapis.com https://*.gstatic.com https://gstatic.com https://*.googlesyndication.com vk.com *.vk.com https://vk.com https://*.vk.com userapi.com ok.ru *.ok.ru; frame-src 'self' *.musite.ru musite.ru *.yandex.ru yandex.ru *.yandex.net yandex.st *.yandex.st https://*.yandex.ru *.googleapis.com *.gstatic.com gstatic.com *.googlesyndication.com *.doubleclick.net youtube.ru youtube.com *.youtube.ru *.youtube.com https://youtube.ru https://youtube.com https://*.youtube.ru https://*.youtube.com apis.google.com https://*.googleapis.com https://*.gstatic.com https://gstatic.com https://*.googlesyndication.com https://*.doubleclick.net https://apis.google.com vk.com *.vk.com https://vk.com https://*.vk.com ok.ru *.ok.ru; object-src 'self' *; img-src 'self' * data:; font-src 'self' * data:; connect-src 'self' *; style-src 'unsafe-inline' 'unsafe-eval' 'self' *;"

</IfModule>