В мобильной выдаче: "Возможна подписка на платные услуги без подтверждения"

красный экран в ЯБ сняли? если да, то сколько времени на это ушло?

Могут ли платные подписки мобильных операторов (как из рекламы в Адсенс) быть вызваны пуш-подписками? На днях словил фильтр за мобильные подписки, Адсенс с сайта убрал, но в тех поддержке Яндекса сказали что проблема ещё не устранена. На сайте остался только код РСЯ и отдельный файл js-воркер Offergate (в коде сайта js-кода Offergate нет, работает рассылка только по ранее подписанным пользователям). Всё равно говорят, что проблема осталась, я уже не знаю из-за чего это может быть.

Достаточно настроить CSP и все, ничего подобного не будет, это у пользователей в браузерах, а еще сами злоумышленники подобным образом сайты топят — проверено на собственных сайтах.

Что есть csp? 

не думал, что все так плохо :(

https://developer.mozilla.org/ru/docs/Web/HTTP/CSP

единственное, есть проблема, если на сайте крутиться реклама адсенса надо вылавливать все его домены, а их немеряно. Если РСЯ, то у яндекса есть готовый список:

для метрики

для РСЯ

Какой смысл в CSP если есть https?

🤣 Вы явно не в теме. Приведу пример, чтобы не было иллюзий

у Вас в коде есть инлайн или скрипт файлом скажем:

<script https://my_site/script.js></script>

или

<script>

myfunction() {

bla bla bla

}


 </script> 

без указания в CSP домена, то есть разрешения на исполнения скриптов на Вашем сайте, его могут подменить. А если в CSP еще добавить  nonce:

<script nonce="@random-nonce">

myfunction() {

bla bla bla

}


 </script> 

то скрипт не выполниться вообще, даже если домен разрешен, но для этого скрипта не сгенерирован nonce и наличие https тут вообще не играет ни какой роли. nonce можно добавить и к стилям...

И как же подменят контент, если соединение по https?

Вы реально думаете, что перейдя на https полностью защищены? Яркий пример (если пользовались Алиэкспресс) - ставите в браузер какое-то приложение, типа этого которое вытягивает историю по ценам и т.д. и к товару от этого расширения на странице появляются дополнительные кнопки и т.д.

Если речь идёт о подмене контента на стороне клиента (через браузер), то нет никакой разницы как загружен контент, тут я с вами согласен. Но если подмена контента идёт "на пути" к клиенту, то через https это сделать почти невозможно. Например, при посещении http сайтов через wifi в кафе или ещё где-то, вполне может висеть какой-нибудь баннер или типа того, который встроили в код сайта "по дороге" к клиенту.