Настройка CSP - Content Security Policy

Вообщем, перечитал тему два раза, второй раз -бегло. Стал пробовать на одном из своих сайтов, сделал как тут написано.

Вначале его положил, естественно, так как всё должно быть в одну строку.

Потом посмотрел на сайт без скриптов) То есть, сама CSP работает... Дописал репорт-онли. Всё работает, только отчеты в папке не создаются.

Что не так? 777 на папку выставил, пути вроде везде правильно прописаны, ***91 на скобки так же заменил. Что ему еще может быть надо?

адрес сайта поменяли в .htaccess?

О, разобрался, надо было на скобки заменять не ***91 а ***91;

Во всём виновата точка с запятой)

Ну можно на ночь оставить, а с утра удивиться)

---------- Добавлено 18.02.2015 в 04:07 ----------

А что теперь с этим отчетом делать?

Ну прилетело мне вот такое:

Я так понимаю, чем больше файл, тем чаще оно вызывается, а подробности в текстовике смотреть? Там черт ногу сломит)

---------- Добавлено 18.02.2015 в 04:09 ----------

Я правильно понимаю, что я сейчас это чудо могу залить на посещаемый сайт, в режиме репорт-онли потестить, потом допустить то, что надо, снова потестить и потом убрать галку и оно порежет всё лишнее?

---------- Добавлено 18.02.2015 в 04:09 ----------

Точнее, оно ж его не порежет, эта шляпа всегда прилетать будет. Оно ж так мне весь сервер засрет своими отчетами)))

---------- Добавлено 18.02.2015 в 04:10 ----------

Ладно, сейчас натравлю на пару сайтов, утром посмотрим, кто там живет...

pavel419, внутри отдельных файлов, записаны директивы в которые ломились.

Что касается отчетов. Засрет не сомненно. B csp.php есть закомментированные части кода, те url, кторые уже не интересно смотреть, можно помещать в массив - по ним записей не будет, но гасить их будет по прежнему.

А вражина появится, когда что-то начнет подсовывать свой код? Пока вроде всё более чем понятно, всем спасибо за топик) Буду тестить)

---------- Добавлено 18.02.2015 в 04:17 ----------

samimages, ага, спасибо, что-то кнопка "Спасибо" пропала)

---------- Добавлено 18.02.2015 в 04:23 ----------

Мне кажется, или CSP как-то влияет на скорость загрузки скриптов?

Как-будто медленнее стало, хотя может просто инет подтупливает...или сервер.

---------- Добавлено 18.02.2015 в 04:25 ----------

О, так это даже не надо копаться в коде сайта. Достаточно посмотреть отчет и посмотреть, кто ломится к тебе на сайт. Затем хорошее добавить, а плохое лесом идет, круто)

Для Адсенса с Директом должна быть:

Попробую посмотреть, что за "зверь" этот download.php в DLE и что он использует.

Спасибо. Но наверно не надо. Я понял, что это было. Я насобирал всё что можно из двух топиков. Потом решил поудалять совсем мне не нужное. И всё заработало с object-src. Может слишком большой набор получился и object-src не обрабатывался, он как раз стоял в конце.

в csp-report обнаружил такое сообщение:

csp-report:

----------------------------------------

":"request":"GET http://site.ru/fgfdgfdg.html HTTP/1.1"

"blocked-uri":"self"

"violated-directive":"inline script base restriction"

"script-sample":"n    google_ad_client = "ca-pub-!!!!!!!!!!!..."

"line-number":264

Подскажите что оно означает? Что у меня блочится гугл адсенс? Или что то другое....

Жара, за ночь набежало)

Кто вообще все эти люди? 🤪 Надо разбираться и убивать нафиг...

---------- Добавлено 18.02.2015 в 13:42 ----------

Пушок ЦЦ блин)

---------- Добавлено 18.02.2015 в 13:47 ----------

Кстати, может кому полезно будет. В тотале есть мулька, выделяем весь этот треш через звездочку и жмем: "сохранить выделенное в файл":

На выходе получаем чистый текстовик только с доменами, как оно и надо:

А с ним по идее проще работать:

---------- Добавлено 18.02.2015 в 13:50 ----------

Ок, а кто мне скажет, что случилось именно в конце ноября? До этого не было этого гавна всего:

---------- Добавлено 18.02.2015 в 14:11 ----------

А как вам еще идейка? Ночью закрываем сайт на ТО, бегаем по нему и собираем отчет от CSP. По идее таким образом мы получим только полезные домены, которые можно будет сразу прописать куда надо, или есть какая-то вещь, которую я не учел?

Пока вижу только то, что не пробежишь по всем страницам, если сайт большой, и можешь просмотреть какой-то скрип. Но потом всегда его можно будет отловить так же. Я просто поставил сбор на еще сайт, и тут сразу всё полезное вроде как:

---------- Добавлено 18.02.2015 в 14:40 ----------

Кстати, пробежался сейчас по своим самым доходным сайтам в адсенс, так вот. эта подмена есть не везде. Точнее, эти переходы наблюдаются где-то на сайтах от косаря народу в сутки.

Конечно, есть вариант, что при мелком трафике народ просто не кликает на эти банеры, но уж слишком хорошо видна зависимость.

Думал, дело в тематике, но нет. На развелкалове меньше косаря тоже тихо... как-то так.

Хорошо, если кто-то проверит или опровергнет мою гипотезу.