Настройка CSP - Content Security Policy

У меня при включённом CSP доход не падает, месяц уже как включён. На сайтах - Директ + Адсенс.

А вы как число показов смотрите, и показов чего?

У Адсенса в статистике - число показов страниц сайта(impression pages), а не объявлений.

Ежедневные колебания трафика на сайтах 5-10% - "показы объявлений" соответственно будут плавать.

Чтобы исключить влияние суточных колебаний трафика, я нормирую "количество показов объявлений относительно числа просмотров страниц"(делю первое на второе).

Выгружаю статистику в Excel и строю график "нормированного числа показов" по дням.

По нему точно видно когда CSP косячно настроена и режет показы твоих собственных объяв.

Смотрю просто доход. Когда разница от 30% до 50%, это очевидно. Писали, что именно в этом время в AdSense упала цена за клик, возможно совпадение. Давайте потестю еще месяц.

Что касается http://yandex.sc, то в поддержке Яндекса сообщили, что это не их домен, а следовательно вирусняк.

P.S. А вот как распространяют зараженные браузеры и плагины.

/ru/forum/871581

Скиньте мне в личку вашу политику CSP для какого-нибудь сайта с Адсенсом. А лучше - сам сайт(если доверяете), http-заголовки у него я и сама посмотреть смогу.

Потому, что 30% потерь не может быть даже при косячно настроенной CSP.

То, что это вирусняк - сразу видно из загружаемых с него скриптов(например, yandex . sc/v4/ci.iframe.js) - они же светятся в CSP. Редирект yandex.sc на Яндекс сделан чисто для прикрытия.

А написать в ТП Яндекса - это сильный ход, поскольку этот yandex.sc "косит" под Яндекс и даже иконка в выдаче у него - Яндексовская.

А на деле - занимается распространением malware, прикрываясь брэндом Яндекса и пороча его.

Юристам Яндекса есть работа: домен отобрать, владельца - под суд за незаконное использование чужого брэнда. Вагную, что сейчас владелец этого хозяйства наложит в штаны и побежит снимать редирект и фавиконку.

PS: Прямые ссылки на "вражеские" сайты лучше не делать - зачем им ТИЦ/PR накручивать забесплатно :)

Поделитесь, кто куда рапорты CSP сливает, т.е. что у вас указано в report-uri? У всех свои собственные скрипты? Из подходящих для этих целей сервисов нашел только cspbuilder.info, неплохо, но может ещё что-то есть?

Malcolm, а чем вас cspbuilder.info не устроил. норм сервис, зачем городить свой огород, чтоб пару дней потестить?

foxi, за неимением лучшего, да, его и использую сейчас. А так он теряет часть рапортов, нет элементарной сортировки в таблицах, нельзя добавить собственные правила, которые уже присутствовали в CSP до начала использования сервиса. Пару дней назад он вообще лежал почти сутки. Бета-версия же.

Malcolm, тогда надо писать свои пхп скрипты. Хотя меня они устроили.

Постоянно наблюдаю в логах записи следующего типа:

blocked-uri:http://192.168.1.2:4080/,violated-directive:frame-src

original-uri:http://www.youtube.com/embed/1aM8wmQ4_Es

Причем в качестве original-uri могут выступать url рекламных площадок.

Например,

blocked-uri:http://1zal7mesto:4080,violated-directive:frame-src

original-uri:http://googleads.g.doubleclick.net/pagead/html/r20141029/r20141103/zrt_lookup.html

Хотя бы логику понять, из-за чего это происходит.

Что касается экспериментов. Что тут сказать... Хостер на три дня отключал сайты из-за проблем с дисками, поэтому понятно где мой трафик сейчас... Не с чем экспериментировать. Вот чуть восстановится, снова примусь.

Вы там точно CSP настраиваете? original-uri не бывает, вот что согласно RFC может быть в отчётах CSP:

 {
  "csp-report": {
    "document-uri": "http://example.org/page.html",
    "referrer": "http://evil.example.com/haxor.html",
    "blocked-uri": "http://evil.example.com/image.png",
    "violated-directive": "default-src 'self'",
    "original-policy": "default-src 'self'; report-uri http://example.org/csp-report.cgi"
  }
}

"Невалидка" из 192.168.0.0 - 192.168.255.255, 172.16.0.0 - 172.31.255.255 и 10.0.0.0 - 10.255.255.255 в blocked-uri встречается, скорее всего это криворукие клепальщики плагинов недоглядели.

Url-ов рекламодателей в blocked-uri не бывает, тк переходы по внешним ссылкам CSP не запрещает.

Выкладываю все без купюр.

Вот сам csp