Настройка CSP - Content Security Policy

Мозила и хром, не скажу каких версий, не помню, операционки вин 7 и хп. Эти данные вам ничего не дадут.

LEOnidUKG, и вам счастливо.

Вы какую документацию читали, от "CSP 1.1" или "CSP level 2"?

"то протокол берётся вашего сайта" на техническом языке называется "Same Origin Policy"(SOP). Когда вы наберёте немного опыта по CSP - узнаете, что SOP придерживаются не все браузеры и не все скрипты партнёрок, увы.

Также, браузеры несколько вольно реализуют "Рекомендации Content Security Policy от W3C", поскольку это пока ещё рекомендации, а не стандарт.

Поэтому для надёжности приходится дублировать домены с http:// и с https://

Chrome 14-24, Safari 5-7 имеют лишь частичную поддержку стандартного CSP. В частности, старый Safari не понимает 'self'.

Если вы вставляете CSP в htaccess, нет возможности определять версию браузера и подстраивать под неё CSP. Приходится делать максимально универсально, иначе теряешь посетителей -> доходы с сайта.

PS: Вы же только неделю назад услышали слово "CSP". Лучше почитайте топик, поучитесь у тех, кто уже год работает с ней.

Всё таки придётся королеве ответить.

Я и так это делаю, если вы посмотрели мой большой пост. Это не я утверждал, что можно без протокола. Я своим клиентам только с протоколом настраиваю. Не надо путать меня и других пользователей форума.

На чхать на сафари, особенно на старые, туда вряд ли пихают всякие говонорасширения.

Ваш муж Ilekor? А то одинаковые закидоны. Я с вами лично не знаком, откуда вы клоуны знаете, что я знаю и сколько? :D

Всё, больше на больные вбросы по моей личности не отвечаю.

люди, подскажите, что за домен _bcp.crwdcntrl.net ??

уж ОЧЕНЬ много его в логах заблоченого, причём на всех сайтах регулярно он в большом количестве светится в логах.

в инете про него ничего толком не нарыл. никак не пойму, это что-то нужное или нет?

из рекламы на сайтах только Adsense.

---------- Добавлено 08.09.2015 в 00:16 ----------

и ещё magicplayer-s.acestream.net частый гость на нескольких сайтах.

это что? видео у меня только Youtube

---------- Добавлено 08.09.2015 в 00:27 ----------

ещё вот часто наблюдаю в логах:

q-searcher-v3.biz

dl.metabar.ru

am-15.net

tds2.mycpm.ru

cdn.mecash.ru

pu.nupiho.ru

кто в курсе, что за домены? есть из всего этого что-то нужное, белое и пушистое?

---------- Добавлено 08.09.2015 в 00:28 ----------

ещё вопрос : akamaihd.net с поддоменами имеет отношение к Google Adsense или нет?

Да не найдёте вы ничего про них. Это вирусы, что они вам должны в блогах отписываться, что они делают? Да никогда в жизни.

В общем на данный момент, третий день с защитой:

На сайте, где больше всего было кликов с Аденса и траффа (по нему проще следить), кол-во кликов увеличилось практически в 2 раза. Правда и чуть траффика приросло, ну грубо говоря в 1,5 раза увеличилось кликов.

В отчетах чего только нет, начиная от Маркетгида и кликандера, и заканчивая не пойми чем (тупо набор букв).

На остальных тоже пока в плюс все, хотя не так много как по сайту выше. Но на них и посещаемость ниже.

Может и совпадение.

ПыСы

Кстати, по первому сайту: резкая просадка в кликах и доходах началась в мае. При этом трафф практически на прежнем уровне остался.

Меня все лето мучал вопрос с кликами...именно что кол-во просело. Так как с ценой клика и так все понятно.

LEOnidUKG,

то есть из всего набора, что я написал ничего нужного нет? можно смело игнорировать это всё?

Игнорить надо всё, что не подключено на вашем сайте.

LEOnidUKG, понятно. так и будем делать :)

кстати, такой вопрос: а если Яндекс метрика (mc.yandex.ru) у меня на одном сайте периодически в блок попадает, хотя она прописана в разрешённых (но её самой нет на сайте, я не пользуюсь), то Яндекс за это не будет ругаться?

Если у вас на сайте есть метрика, то помимо скриптов её надо разрешить в connect-src

Или вообще сделать connect-src *;

connect-src Специальные директивы для XMLHttpRequest, WebSocket и EventSource.

Но если у вас нет метрики на сайте, то ничего подключать не нужно.