Резкое падение позиций в Яндексе, есть ответ Платона

Прочитал почти всю тему. Так и не понял, что это за переходы и как лечить свои сайты.

Страшно или нет - надо смотреть какие "фичи" используются злоумышленниками.

Под конкретных врагов достаточно просто в секции header определить и проинициировать мусором некоторые переменные на яваскрипте - те, которые использует вражеский скрипт.

Если правильно выбрать такие переменные - вражеский скрипт "сломается" и вылетит по ошибке.

PS: Плохо, что надо под каждый вражеский скрипт искать его уязвимые местапеременные, это допустимо только как временная мера.

Дааааа... попробовал на другом сайте на другом хостинге, поставилось, сайт деревяный, половина кнопок не работает, в строке поиска перестал исчезать дефолтный текст, в админку вообще не получилось зайти через кнопку, только вручную ...

Но админка как не странно работает более менее нормально, конечно, визуальные редакторы возможно не будут работать, но у меня обычный бб отлично работает, разделы работают ...

Х3 что делать, переезжать на этот хостинг и изучать директивы или ждать с моря по морде от яндекса ...

Обращение к тем, кто хорошо разбирается во всем этом, может напишите инструкцию к популярным разрешенным сайтам? ☝

Ну например:

Счетчики Яндекс Метрика, Гугл Аналитика, Рамблер топ, LI

Контекст Директ, Adsense

Виджеты Твиттера, Вконтакте, Facebook

А как использовать Content Security Policy когда коды некоторых рекламных тизерных сетей постоянно меняются и их не возможно отследить?

Заразил свой браузер, установил этот плагин. Плагин отлично режет всю левую рекламу. Только не получается настроить его так, чтобы он не резал Adsense, Метрику, счётчики. Жаль, что не нашлось людей с прямыми руками, кто мог бы доработать его. Придётся заказывать доработку у программистов.

Таких "умников" много развелось в последнее время.

Вот только что CSP отловил на сайте "свежачок": fluxx.crazytall.com, с мая 2014 начал "светиться".

Да проблема конечно глобальная))) И как с ней эффективно может бороться google или яндекс не понятно….

1) Убрать наказание сайтов за подобные переходы можно.

2) А вот как защитить рекламу? Версий браузеров и плагинов тысячи, выпустит обновленный защищённый браузер можно, НО сколько человек их не обновлят годами?((

У меня траф упал. Написал Платону. Пришел ответ:

"Мы в курсе данной ситуации. Такие перенаправления вызваны заражением браузеров посетителей сайта, и действительно могли повлиять на те или иные решения наших алгоритмов. Однако мы уже внесли в алгоритмы соответствующие изменения, и в ближайшее время влияние таких редиректов сойдет на нет. Что касается Вашего сайта, то на него указанные редиректы никак не повлияли."

Все делается просто - в CSP штатно предусмотрен отладочный режим

Сначала ставите на сайт CSP-заголовок с добавкой -Report-Only, он включает CSP, но ничего не запрещает, а только шлёт диагностику вам на сервер по указанному в report-uri скрипту:

Настраиваете скрипт csp.php на приём json-объектов, которые браузеры будут слать методом POST, см http://www.w3.org/TR/CSP/#report-uri. Их надо писать в "файл репортов".

Далее - прописываете в заголовок CSP желаемые правила и домены "белого списка"(это мой отладочный пример для Я и G карт, метрики и Директа с Адсенсом, инлайн скпипты - разрешены, тк пока не могу быстро убрать их в файл):

и смотрите, в "файле репортов" что браузеры запретили из того, что надо разрешить. Вносите поправки в свой "белый список".

Если после тестирования пару дней ничего заблокированного из "нужного" в "репортах" не появилось - убираете от CSP-заголовка добавку -Report-Only, и Content Secure Police начинает работать. Репорты в файл будут продолжать писаться, его надо периодически чекать.

PS: Под все браузеры надо давать 3 заголовка "Content-Security-Policy", на PHP это делается так:

Неплохо убрать Метрику и коды Директ/адсенс в отдельный js-файл и полключать его через <script src='/metrics.js' type='text/javascript'></script>. Тогда CSP не будет блокировать запускаемое из этого файла.