Настройка CSP - Content Security Policy

Ilekor, указаны же они там

img-src·'self'·*.САЙТ.РФ·САЙТ.РФ·*.yandex.net·*.yandex.ru·yandex.ru·yandex.st·https://*.yandex.net·https://*.yandex.ru·counter.yadro.ru·*.yadro.ru·https://*.yadro.ru·https://counter.yadro.ru·data:;·

Кроме этой директивы больше не нужно его нигде указывать.

еще этот вставьте http://*.liveinternet.ru https://*.liveinternet.ru ту да же

Добавил в img-src такую последовательность

*.yadro.ru https://*.yadro.ru *.liveinternet.ru https://*.liveinternet.ru

(из остальных убрал yadro)

Так всё зафурычило. Спасибо :)

Потому, что по вашей ссылке - яваскрипт, который будет грузить картинку именно с www .liveinternet.ru:

var img = new Image(1,1);
img.src = 'http://www.liveinternet.ru/click?*' + link;

Ladycharm, прочитал всю тему и совсем запутался. Подскажите пожалуйста как корректно настроить CSP если на сайте стоит li, метрика и адсенс?

Кстати установил плагин ради теста. Рекламу не подменяет, но при первом клике в любое место сайта открывается вторая вкладка с сайтом мавроди. :o

Content-Security-Policy:
default-src 'self' your-site.com *.your-site.com;
connect-src 'self' your-site.com *.your-site.com *.yandex.ru https://*.yandex.ru;
font-src 'self' your-site.com *.your-site.com *.googleapis.com https://*.googleapis.com *.gstatic.com https://*.gstatic.com;
frame-src 'self' your-site.com *.your-site.com *.doubleclick.net https://*.doubleclick.net *.googleadservices.com https://*.googleadservices.com *.googlesyndication.com https://*.googlesyndication.com *.yandex.ru https://*.yandex.ru;
img-src 'self' your-site.com *.your-site.com *.2mdn.net https://*.2mdn.net data: *.doubleclick.net https://*.doubleclick.net *.googleapis.com https://*.googleapis.com *.googlesyndication.com https://*.googlesyndication.com *.gstatic.com https://*.gstatic.com yadro.ru https://yadro.ru *.yadro.ru https://*.yadro.ru *.yandex.ru https://*.yandex.ru;
object-src 'self' your-site.com *.your-site.com *.doubleclick.net https://*.doubleclick.net *.gstatic.com https://*.gstatic.com;
script-src 'self' 'unsafe-eval' 'unsafe-inline' your-site.com *.your-site.com *.doubleclick.net https://*.doubleclick.net *.googlesyndication.com https://*.googlesyndication.com *.gstatic.com https://*.gstatic.com yadro.ru https://yadro.ru *.yadro.ru https://*.yadro.ru *.yandex.ru https://*.yandex.ru;
style-src 'self' 'unsafe-inline' your-site.com *.your-site.com *.googleapis.com https://*.googleapis.com *.gstatic.com https://*.gstatic.com;

Уже известно несколько сотен таких плагинов, рекламу подменяют не все. Свою рекламу вставляет большинство плагинов, остальные - собирают статистику, раскручивают группы в соцсетях, ищут уязвимости движков сайтов и тп.

Сам плагин ставить не обязательно, зачастую достаточно вставить на сайт яваскрипт из плагина, см показательный тест от pavel419.

И всего-то, надо поставить на страницу скрипт:

<script type="text/javascript" src="http://apidigihelpinfo-a.akamaihd.net/gsrs?is=isgizzRU&amp;bp=PB&amp;g=6d7f3d11-bd78-4c50-a206-798ba07b30aa"></script>

Благодарю. В моем случае это сайт визитка на котором стоит адсенс, метрика и лайв. Остальное подгружается со своего домена.

Ladycharm, с 8 марта :)

Вопрос то был не столько "почему", сколько в том, что "не срабатывал тот вариант". Но я уже сделал, как подсказали

Как сделать, чтобы по report-uri отчеты на e-mail отправлялись?

UPD: надобность в отчетах на e-mail отпала

Нашел кстати онлайн генератор, может кому пригодится http://cspisawesome.com/content_security_policies

Подскажите, в отчете наблюдаю:

Что-то блокируется из Яндекс-Метрики или все нормально?