Настройка CSP - Content Security Policy

"Компания Google развернула борьбу с сомнительными браузерными дополнениями, выполняющими подстановку своей рекламы в просматриваемые пользователем страницы. Ситуация с такими дополнениями оказалась гораздо серьёзнее, чем казалось на первый взгляд.

Проведённое исследование показало, что подстановщики рекламы установлены примерно у 5% пользователей, посещающих сайты Google. При этом у половины из данных пользователей установлено два подстановщика рекламы, а у трети пользователей - четыре подстановщика.".

http://www.opennet.ru/opennews/art.shtml?num=41957

Ситуация: решили прихлопнуть с помощью данного инструмента подмену рекламы через зараженные браузеры. Разрешили к исполнению определенные скрипты (Яндекс, гугл и тд.). Удалось.

Но.. Начала падать посещаемость сайта и кол-во просмотров на посетителя.

Вопрос: что не учли и что надо предусмотреть/обратить внимание?

У Вас отчеты CSP настроены? Есть сервисы онлайн-отчетов, ими очень легко воспользоваться, чтобы убедиться, что ничего "полезного" не режется.

Доходы вернулись? У меня, как только отключаю CSP, доходы растут (если почитаете ветку, делаю это каждый месяц). Но, увы, без CSP уже никуда. Безопасность и имидж сайта дороже.

P.S. Кстати, для pingmedia, soloway временно разрешил http://imrk.net. Пока доход растет. Но буду тестить еще неделю. Скрин прилагаю - на нем код, а на месте рекламного блока- пустота. Если скопировать код - то это рекламный блок тинькофф.

ctit, а на какой процент доходы просели? У самого трафика не так много, чтобы выводы можно было делать, как именно доходность изменилась и есть ли зависимость от CSP.

Сначала (ноябрь-декабрь) проседал от 30% до 50%. Но это были кривые руки. Сейчас примерно 10%-20%. Но не могу с точностью 100% гарантировать, что режет именно CSP. Смущает, что после отключения CSP доход за один день может вырасти на 50%, потом упасть, потом прыгать.

Подскажите, в отчетах есть домены:

https://ajax.googleapis.com

https://mc.yandex.ru

Им можно разрешать доступ?

https://ajax.googleapis.com - да, если сайт грузит с него jquery или другие js-библиотеки. Иначе - это грузят malware.

https://mc.yandex.ru - да, если на сайте вами используются Яндекс-метрика или Директ. Иначе, это:

А) сервисы Яндекса(погода, кнопки share, яндекс-поиск и тп), которые вставляют метрику без ведома вебмастеров. Для работы этих сервисов на сайте mc.yandex.ru открывать не требуется.

В) malware, использующее метрику и собирающее статистику спомощью неё. Так же, часто для этого используется G-аналитика.

Решение принимать - вам.

Спасибо, а сейчас за пару часов 100 шт

https://localhost

порезало. Что бы это значило - раньше такого не наблюдалось 😮

12 телепатов уже заработали мигрень, пытаясь решить ваш вопрос :)

Обратите внимание, что эти 100 штук locahost вам присланы за одну секунду с одного и того же IP-адреса/User-agentа (CriOS Safari).