Настройка CSP - Content Security Policy

Я вот посмотрел и с удивлением у себя тоже обнаружил снова эту хрень, при этом что на несколько дней после внедрения CSP оно вобще пропало. Да, их гораздо меньше, но они есть, интересно стату за сегодня посмотреть, сейчас пока на ливере она недоступна, как оно пролазит?

---------- Добавлено 24.02.2015 в 01:17 ----------

big boy, а сколько трафа на сайте? Что-то переходов просто немеряно)

Возможно реклама не в сайт встраивается, а в сам браузер и крепится к низу страницы например.

Что-то около 25к было вчера. И то после пессимизации Яшей хз за что.

big boy, но CSP работает, за сегодня заблокировано 315 урлов, и некоторые по много раз. Так что не знаю, что еще сделать. там вроде только самое важное разрешено.

Разницы между PHP и .htassess - никакой. Надо только, чтобы CSP вставлялась на все страницы сайта, а не только на морду. htaccess гарантированно вставляет на все, даже на админку сайта, что не всегда хорошо.

Для Адсенса надо:

font-src:		
	добавить	*.gstatic.com
  fonts.googleapis.com			заменить на	*.googleapis.com
  https://fonts.googleapis.com	заменить на	https://*.googleapis.com
  https://fonts.gstatic.com		заменить на	https://*.gstatic.com
		
frame-src:		
	добавить	*.googleadservices.com
	добавить	https://*.googleadservices.com

img-src:		
	добавить	*.2mdn.net
	добавить	*.googleapis.com
	добавить	*.gstatic.com
	добавить	https://*.2mdn.net
	добавить	https://*.doubleclick.net
	добавить	https://*.googleapis.com
	добавить	https://*.gstatic.com

script-src:		
	добавить	https://*.gstatic.com
		
style-src:		
	добавить	*.gstatic.com
	добавить	https://*.gstatic.com

Если кроме Адсенса другой рекламы на сайте нет, смело убирайте из всех директив:

PS: На счёт *.twitch.tv - не знаю, разве что вы их фильмы на сайте показываете.

Ladycharm, вынужден признать, что ошибался. Похоже, мне попался один кривой баннер от adtarget.me (там было подчеркивание в хосте adtarget_100x80.me, видимо из-за этого не создавался safeframe - гугл всё вываливал в фрейм без src - на него распространяются правила CSP и соответственно всё резалось по CSP), а я решил, что это обычная практика у гугла.

Ещё сбило с толку, что в логах CSP были sociomantic.com, adnxs.com, turn.com, ещё несколько - белые вроде конторы... но видимо тоже из-за каких-то глюков туда попали или плагины их используют.

У Гугла - да, наружный фрейм без src, а внутри него ещё 2 фрейма уже с scr. Там сам чёрт ногу сломит разбираться. Плюс, некоторые malvare вставляют свою рекламу прямо на место Адсенса, тк браузерному плагину доступны все iframe на странице.

Так что если что заметите подозрительное - вываливайте в топик не раздумывая, будем смотреть все вместе, мы - в одной лодке.

PS: doubleclick.net - универсальная платформа показа рекламы, через неё может показываться не только Адсенс. Любой желающий может подключиться и крутить свою рекламу на этой платформе, она ведёт учет показов, кликов, меряет конверсию и тп.

Так, что там тоже могут быть сюрпризы.

Ladycharm, вы прям наш Робин Гуд, спаситель, великий тулбарный воин! )))

Спасибо за советы, попробую.

Может быть пропустил, подскажите, а то никак не пойму.

В этом списке LI:

"отчет: количество переходов на сайты по дням | по неделям | по месяцам"

Отражаются ли переходы по рекламе AdSence?

У меня там много приличных сайтов, вроде wildberries.ru. (Эти - dm1.jquerys.ru - тоже есть)

Нет. Клик не регистрируется в ЛИ, так как идёт из фрейма адсенса, который не учитывается в стате счетчика.

Значит, wildberries.ru пользуется их услугами. Не думал.