Настройка CSP - Content Security Policy

Подскажите почему у меня блокирует connect.ok.ru и mc.yandex.ru.

Вот код из отчёта:

{"csp-report":{"document-uri":"http:\/\/site.ru\/","referrer":"https:\/\/www.google.ru\/","violated-directive":"script-src 'self' 'unsafe-inline' 'unsafe-eval' *.yandex.ru yandex.ru *.yandex.net yandex.net yandex.st *.yandex.st yastatic.net *.yastatic.net google.ru *.google.ru *.vk.com vk.com *.yadro.ru yadro.ru leadiacloud.com *.leadiacloud.com *.google-analytics.com google-analytics.com tynt.com *.tynt.com *.ok.ru *.google.com *.facebook.com ok.ru google.com facebook.com *.odnoklassniki.ru odnoklassniki.ru plus.google.com *.leadia.ru tizerlady.biz *.tizerlady.biz docdoc.ru *.docdoc.ru mc.yandex.ru googlesyndication.com *.googlesyndication.com","original-policy":"default-src 'self' *.yandex.ru yandex.ru *.google-analytics.com googlesyndication.com *.googlesyndication.com google-analytics.com *.yandex.ru yandex.ru *.yandex.net yandex.net yandex.st *.yandex.st yastatic.net *.yastatic.net google.ru *.google.ru *.vk.com vk.com *.yadro.ru yadro.ru leadiacloud.com *.leadiacloud.com *.google-analytics.com google-analytics.com tynt.com *.tynt.com *.ok.ru *.google.com *.facebook.com ok.ru google.com facebook.com *.odnoklassniki.ru odnoklassniki.ru plus.google.com *.leadia.ru tizerlady.biz *.tizerlady.biz docdoc.ru *.docdoc.ru mc.yandex.ru;style-src 'unsafe-inline' *;frame-src *;img-src * data:;media-src *;font-src *;script-src 'self' 'unsafe-inline' 'unsafe-eval' *.yandex.ru yandex.ru *.yandex.net yandex.net yandex.st *.yandex.st yastatic.net *.yastatic.net google.ru *.google.ru *.vk.com vk.com *.yadro.ru yadro.ru leadiacloud.com *.leadiacloud.com *.google-analytics.com google-analytics.com tynt.com *.tynt.com *.ok.ru *.google.com *.facebook.com ok.ru google.com facebook.com *.odnoklassniki.ru odnoklassniki.ru plus.google.com *.leadia.ru tizerlady.biz *.tizerlady.biz docdoc.ru *.docdoc.ru mc.yandex.ru googlesyndication.com *.googlesyndication.com; report-uri \/csp.php","blocked-uri":"https:\/\/connect.ok.ru"}}



>>>> BLOCK URL:https:\/\/connect.ok.ru"}}



{"csp-report":{"document-uri":"http:\/\/site.ru\/","referrer":"https:\/\/www.google.ru\/","violated-directive":"script-src 'self' 'unsafe-inline' 'unsafe-eval' *.yandex.ru yandex.ru *.yandex.net yandex.net yandex.st *.yandex.st yastatic.net *.yastatic.net google.ru *.google.ru *.vk.com vk.com *.yadro.ru yadro.ru leadiacloud.com *.leadiacloud.com *.google-analytics.com google-analytics.com tynt.com *.tynt.com *.ok.ru *.google.com *.facebook.com ok.ru google.com facebook.com *.odnoklassniki.ru odnoklassniki.ru plus.google.com *.leadia.ru tizerlady.biz *.tizerlady.biz docdoc.ru *.docdoc.ru mc.yandex.ru googlesyndication.com *.googlesyndication.com","original-policy":"default-src 'self' *.yandex.ru yandex.ru *.google-analytics.com googlesyndication.com *.googlesyndication.com google-analytics.com *.yandex.ru yandex.ru *.yandex.net yandex.net yandex.st *.yandex.st yastatic.net *.yastatic.net google.ru *.google.ru *.vk.com vk.com *.yadro.ru yadro.ru leadiacloud.com *.leadiacloud.com *.google-analytics.com google-analytics.com tynt.com *.tynt.com *.ok.ru *.google.com *.facebook.com ok.ru google.com facebook.com *.odnoklassniki.ru odnoklassniki.ru plus.google.com *.leadia.ru tizerlady.biz *.tizerlady.biz docdoc.ru *.docdoc.ru mc.yandex.ru;style-src 'unsafe-inline' *;frame-src *;img-src * data:;media-src *;font-src *;script-src 'self' 'unsafe-inline' 'unsafe-eval' *.yandex.ru yandex.ru *.yandex.net yandex.net yandex.st *.yandex.st yastatic.net *.yastatic.net google.ru *.google.ru *.vk.com vk.com *.yadro.ru yadro.ru leadiacloud.com *.leadiacloud.com *.google-analytics.com google-analytics.com tynt.com *.tynt.com *.ok.ru *.google.com *.facebook.com ok.ru google.com facebook.com *.odnoklassniki.ru odnoklassniki.ru plus.google.com *.leadia.ru tizerlady.biz *.tizerlady.biz docdoc.ru *.docdoc.ru mc.yandex.ru googlesyndication.com *.googlesyndication.com; report-uri \/csp.php","blocked-uri":"https:\/\/mc.yandex.ru","source-file":"http:\/\/site.ru\/","line-number":576}}



>>>> BLOCK URL:https:\/\/mc.yandex.ru","source-file":"http:\/\/site.ru\/","line-number":576}}

{"csp-report":{"document-uri":"http:\/\/site.ru\/","referrer":"https:\/\/www.google.ru\/","violated-directive":"script-src 'self' 'unsafe-inline' 'unsafe-eval' *.yandex.ru yandex.ru *.yandex.net yandex.net yandex.st *.yandex.st yastatic.net *.yastatic.net google.ru *.google.ru *.vk.com vk.com *.yadro.ru yadro.ru leadiacloud.com *.leadiacloud.com *.google-analytics.com google-analytics.com tynt.com *.tynt.com *.ok.ru *.google.com *.facebook.com ok.ru google.com facebook.com *.odnoklassniki.ru odnoklassniki.ru plus.google.com *.leadia.ru tizerlady.biz *.tizerlady.biz docdoc.ru *.docdoc.ru mc.yandex.ru googlesyndication.com *.googlesyndication.com","original-policy":"default-src 'self' *.yandex.ru yandex.ru *.google-analytics.com googlesyndication.com *.googlesyndication.com google-analytics.com *.yandex.ru yandex.ru *.yandex.net yandex.net yandex.st *.yandex.st yastatic.net *.yastatic.net google.ru *.google.ru *.vk.com vk.com *.yadro.ru yadro.ru leadiacloud.com *.leadiacloud.com *.google-analytics.com google-analytics.com tynt.com *.tynt.com *.ok.ru *.google.com *.facebook.com ok.ru google.com facebook.com *.odnoklassniki.ru odnoklassniki.ru plus.google.com *.leadia.ru tizerlady.biz *.tizerlady.biz docdoc.ru *.docdoc.ru mc.yandex.ru;style-src 'unsafe-inline' *;frame-src *;img-src * data:;media-src *;font-src *;script-src 'self' 'unsafe-inline' 'unsafe-eval' *.yandex.ru yandex.ru *.yandex.net yandex.net yandex.st *.yandex.st yastatic.net *.yastatic.net google.ru *.google.ru *.vk.com vk.com *.yadro.ru yadro.ru leadiacloud.com *.leadiacloud.com *.google-analytics.com google-analytics.com tynt.com *.tynt.com *.ok.ru *.google.com *.facebook.com ok.ru google.com facebook.com *.odnoklassniki.ru odnoklassniki.ru plus.google.com *.leadia.ru tizerlady.biz *.tizerlady.biz docdoc.ru *.docdoc.ru mc.yandex.ru googlesyndication.com *.googlesyndication.com; report-uri \/csp.php","blocked-uri":"https:\/\/connect.ok.ru"}}



>>>> BLOCK URL:https:\/\/connect.ok.ru"}}



{"csp-report":{"document-uri":"http:\/\/site.ru\/","referrer":"https:\/\/www.google.ru\/","violated-directive":"script-src 'self' 'unsafe-inline' 'unsafe-eval' *.yandex.ru yandex.ru *.yandex.net yandex.net yandex.st *.yandex.st yastatic.net *.yastatic.net google.ru *.google.ru *.vk.com vk.com *.yadro.ru yadro.ru leadiacloud.com *.leadiacloud.com *.google-analytics.com google-analytics.com tynt.com *.tynt.com *.ok.ru *.google.com *.facebook.com ok.ru google.com facebook.com *.odnoklassniki.ru odnoklassniki.ru plus.google.com *.leadia.ru tizerlady.biz *.tizerlady.biz docdoc.ru *.docdoc.ru mc.yandex.ru googlesyndication.com *.googlesyndication.com","original-policy":"default-src 'self' *.yandex.ru yandex.ru *.google-analytics.com googlesyndication.com *.googlesyndication.com google-analytics.com *.yandex.ru yandex.ru *.yandex.net yandex.net yandex.st *.yandex.st yastatic.net *.yastatic.net google.ru *.google.ru *.vk.com vk.com *.yadro.ru yadro.ru leadiacloud.com *.leadiacloud.com *.google-analytics.com google-analytics.com tynt.com *.tynt.com *.ok.ru *.google.com *.facebook.com ok.ru google.com facebook.com *.odnoklassniki.ru odnoklassniki.ru plus.google.com *.leadia.ru tizerlady.biz *.tizerlady.biz docdoc.ru *.docdoc.ru mc.yandex.ru;style-src 'unsafe-inline' *;frame-src *;img-src * data:;media-src *;font-src *;script-src 'self' 'unsafe-inline' 'unsafe-eval' *.yandex.ru yandex.ru *.yandex.net yandex.net yandex.st *.yandex.st yastatic.net *.yastatic.net google.ru *.google.ru *.vk.com vk.com *.yadro.ru yadro.ru leadiacloud.com *.leadiacloud.com *.google-analytics.com google-analytics.com tynt.com *.tynt.com *.ok.ru *.google.com *.facebook.com ok.ru google.com facebook.com *.odnoklassniki.ru odnoklassniki.ru plus.google.com *.leadia.ru tizerlady.biz *.tizerlady.biz docdoc.ru *.docdoc.ru mc.yandex.ru googlesyndication.com *.googlesyndication.com; report-uri \/csp.php","blocked-uri":"https:\/\/mc.yandex.ru","source-file":"http:\/\/site.ru\/","line-number":576}}



>>>> BLOCK URL:https:\/\/mc.yandex.ru","source-file":"http:\/\/site.ru\/","line-number":576}}

Потому что надо каждый домен прописывать с протоколом. Для яндекса и майла, отдельно с http:// и отдельно с https://

Возьмите яваскрипт из этого сообщения (который <script type="text/javascript" src="http://apidigihelpinfo-a.akamaihd.net/...) и поставьте на сайт, это код показа рекламы от плагина Классик ТВ

А выглядеть ваша страничка будет вот так, pavel419 ставил себе этот скрипт в феврале 2015 и сделал принтскрин для своей заметки о результатах настройки CSP.

"blocked-uri":"https://connect.ok.ru"

BLOCK URL:https://mc.yandex.ru",

"source-file":"http://site.ru/",

У вас сайт работает по HTTP (http://site.ru/), а скрипты Метрики и Одноклассников в целях безопасности передачи данных работают по HTTPS. Добавляйте в вашу CSP домены https://mc.yandex.ru и https://connect.ok.ru в нужные директивы (в которых они блокируются).

PS: Google-аналитика тоже работает по https

То же этот "blob" на одном сайте, хз что за зверь, гуглил и не понял.

Есть проблема на с воспроизведением онлайн видео, дело в том что скрипт который обрабатывает запросы и выдает прямую ссылку на видео файл размещен на стороннем домене добавил это домен в default-src, object-src и script-src с протоколом http. Превью к плееру тоже грузится с этого домена img-src * data: в настройках.

Получается плеер грузится нормально, превью тоже подгружается, но при попытке воспроизвести ролик проходит запрос к файл который успешно блокируется

Пример самого линка:

Я грешу на то что Content Security Policy не может определить этот линк как путь к 2.mp4 и лочит, соответственно вопрос: как обойти эту блокировку, возможно есть способ задать домен в настройках Content Security Policy как полностью доверенный? Напомню в default-src домен указан.

Директива default-src задаёт значение для остальных директив политики CSP только при условии если они не были определены явно.

В какой директиве возникает блокировка плеера?

Blob - двоичные данные, в них может быть прислана и картинка, и скрипт и любой файл. Возможно ваш сайт или плагин использует XMLHttpRequest2-запросы, в ответ на них могут присылаться ответ в формате «text», «arraybuffer», «blob» или «document»

Поставил скрипт, на пару дней пропали в статистике все эти переходы на посторонние сайты, а сегодня уже новые появились. Что ещё можно дописать?

Сайт статичный, все картинки, стили и скрипты размещены у себя, из сторонних только счётчик статистики liveinternet и плееры youtube и mail.ru.

CSP такой

Разобрался, порылся в запросах выцепил первоначальные домены добавил их в default-src потом и в object-src т.к. на FF не работал, кажется всё грузит, буду следить.

Ещё вопрос, кто анализировал лог у меня активно блокируется домен aa-gb.marketgid.com хотя маркетгид на сайте не установлен, так же проскакивает www.google-analytics.com (аналитика от гугла не подключена) на сколько я понимаю это расширения в баузерах пользователей ломятся к нет?

Ladycharm, как определить в какой директиве возникает блокировка? Я пользуюсь скриптом лога который выложен здесь, я так понимаю есть расширенный скрипт анализа логов?

Ну для меня это темный лес, кстати сайт на обычных HTML страничках, черти когда вытащенный с вебархива.

Google Analytics используют доморощенные плагины для сбора статистики своей работы, а "ребята по серьезней" задействуют Kibana на базе ElasticSearch, треккинг-картинки или готовые решения на SAAS-платформах.

Вредоносные плагины монетизируются через различные тизерки, включая Marketgid. Плагины просто подменяют вашу рекламу на рекламу этих партнёрок с чужим ID.

Поэтому когда на сайте стоит много разношерстной банерной рекламы и тизерок, CSP будет мало эффективна.

В какой директиве возникла блокировка смотрите в "violated-directive".

Если используете этот скрипт от LeonidUKG, то по нему CSP не настроишь, он не показывает полностью весь отчёт и выдёргивает каждый раз случайный кусок из него и "violated-directive" может не быть.

Вот этот скрипт даёт полные репорты.

Но у этого скрипта (и у скрипта от LeonidUKG) одинаковая проблема с безопасностью (на сайт можно залить и выполнить произвольный php-код, включая shell), в последующих сообщениях написано как себя обезопасить.

Если такие блокировки единичны - то скорее всего это результат работы malware и на них можно "забить". Если массовые - надо разбираться и смотреть, что используется на странице, где сработала CSP.