Настройка CSP - Content Security Policy

Раз обращения есть - значит отчёты присылаются -> .htaccess корректно отрабатывает report-uri http://site.ru/csp.php

Модуль csp.php у вас должен лежать в корневой папке сайта site.ru. Там же должна создаться папка /csp/ по mkdir($dir, 0777);

А в ней должны создаваться папки отчётов по датам.

Попробуйте создать папку /csp/ руками и поставить на неё права 777.

Потому, что некоторые версии PHP не поддерживают рекурсию и не создают по mkdir() вложенные папки типа mkdir('/csp/03062015', 777).
Тогда в скрипте приходится делать:
mkdir('/csp', 777)
и потом:
chdir('csp');
mkdir('/03062015', 777);

PS: Если не получится с собственным csp.php - вариант от NR имеет полное право на жизнь.

Поставил на яндекс браузер, но не понял как отчеты смотреть?

Отчеты она не показывается. Либо через консоль либо еще как то

Яндек-браузером не пользовалась, а в Хроме - принтскрин ниже(или комбинация клавиш Ctrl + Shift + J). Ходите по сайту и смотрите ошибки, они будут в консоли яваскрипт помечены "Content Security Policy".

В FifeFox - аналогично.

В общем всё же удалось получить доступ к отчетам через cspbuilder.info . Но как всё до ума довести не пойму... Все домены которые я хочу добавить в белый отметил как "allow", затем перешел в builder и не вижу в сгенерированном коде домены которые отмечал.

сперва идешь в Review отмечаешь то что надо, перед Аllow еще не забудь чек-бокс чуть выше поставить на правило

после того как всё отобрал - топаешь в Policy - там и будет нужный код

Но код нужно еще напильником обрабатывать.

Я за основу взял тот что тут выше, выкладывали, чтобы не манаться с гуглом и добавил туда своё.

Многострочный со сшэлами у меня тоже не работает, пришлось переводить всё в одну строку.

отмеченные сторонние домены отображаются в сгенерированном коде, а вот мой домен почему-то нет, это глюк или свой домен можно только вручную добавить?

Всем добрый вечер

Настроил CSP, вроде бы все левое ушло - аля quick-searcher-sng.net...уже хорошо, хотя статистика ПФ почти не изменилась.

Подскажите, cspbuilder.info в отчете пишет, что много блокировок по правилу frame-ancestors about - это что?

Еще есть есть способ запретить показывать свой ресурс в чужих фреймах?

В статистике LI остается много переходов на уже нормальные сайты - аля wildberries.ru - откуда они берутся???

да, вручную

свой хост я прописывал в код руками

Спасибо! Со всем вроде разобрался, а вот сбросить сгенерированный код как-то можно?