Настройка CSP - Content Security Policy

Деймос, можно любым другим сервисом проверить, который заголовки показывает.

Так и есть. Мало кто настраивает.

Причём тут ваша внешняя реклама на сайте?

Если вы хотите, чтобы ваш сайт в браузерах у посетителей выглядел вот так - флаг вам в руки. И им - пофиг, была ли у вас реклама на сайте, или нет.

Ladycharm

убедил! посмотрел на одном бизнес сайте с трафиком до 100 уников, без рекламы, тоже есть 2-5 исходящих переходов на эту хрень...

Друзья подскажите пожалуйста один момент: настроил CSP и сделал report-uri. В нем много записей с блокировкой моих счетчиков на версии моего сайта по https:

"document-uri":"https://www.mysite.ru/catalog/divany","referrer":""

От куда вообще взялись такие заходы по https? Конечно сайт открывается по https с предупреждением что мол сертификат не подписан, но при этом везде сайт проиндексирован только как http... отключить https версию не получается, т.к. хостер всем своим клиентом бесплатно залил самоподписанный сертификат который на shared нельзя отключить... отключение через htaccess не работает...

Возможно что такие переходы идут как раз с зараженных браузеров, где вирусы подменяют путь - хотя какой смысл?

Друзья подскажите пожалуйста сегодня увидел что на одном из моих сайтов где установлен CSP не грузятся favicon некоторых объявлений, вот что говорит Chrome

GET https://encrypted-tbn0.gstatic.com/favicon?q=tbn:ANd9GcRFhIaw9M7-MdCwVCWXKrag2R058rfzal4WLDig6fdcdXeOFkOkPTBw8ooMj4_MDvIdYwbBLQ 404 (OK)

В img-src есть *.gstatic.com https://*.gstatic.com

Еще иногда блокируется: http://top-fwz1.mail.ru - хотя счетчик вроде работает и отображается. Подскажите пожалуйста как поправить. Заранее спасибо!

Братцы, подскажите!

Что за "зверь" cache.betweendigital.com - режется по 2-3 раза практически на каждой внутренней странице. Погуглил - так и не понял - вроде какие-то всплывающие окна? Или что?

Ladycharm, спасибо вам огромное за помощь в этой теме. Настроил себе CSP на паре сайтов, посмотрю на отдачу.

Вопрос возник. На форуме, установленном на одном из проектов, стоит стандартный для Xenforo редирект на списке постов. При включенном CSP при переходе по такой ссылке выскакивает 502 ошибка. Подскажите, куда смотреть, куда копать? Правда Xenforo исключается.

Это рекламная сеть. Если кода этой сети явно нет на сайте, то видимо, сторонняя сеть грузит этот код. Это нормально. У меня их прямой код стоял на сайте.

оживлю тему

Народ а что вы делали с "blocked-uri":"android-webview"

Как-то прописывали его или забили на это?

На сколько я понял из гугления западных ресурсов, это какие-то баги в коде Хрома на Андройде. Заходил с Хрома на сайт но визуально никаких проблем не вижу, причем на мои заходы с андройда эта ошибка и не вылетает.

В списке заблокированных в большом кол-во появляются скрипты http://jsc.marketgid.com \ http://jsu.marketgid.com и т.д. хотя на сайте только гугл и яндекс реклама.

Может быть что marketgid.com пробивается через RTB аукционы? Стоит его разблокировать ?

---------- Добавлено 23.08.2015 в 13:18 ----------

У меня часто блокируются фреймы с adtrustmedia.com - видимо тоже идет через RTB