Настройка CSP - Content Security Policy

Не знаю, как другие, а я здесь в основном сообщения Ladycharm отслеживаю, ибо спасибо ей за проделанный труд и желание делиться его результатами с другими. Свои правила CSP составил исключительно по рекомендациям Ladycharm.

Сменил хостинг, а у них стоит веб сервер litespeed(до этого был апачи). Вроде бы всё работает корректно, но не приходят отчёты на cspbuilder.info. Подскажите, какие корректировки нужно внести в htaccess для возобновления мониторинга отчётов?

Отправка CSP-отчётов не зависит от вашего веб сервера, тк отчёты отправляет браузер пользователя.

Скорее всего ваша CSP не отдаётся новым веб-сервером, или обрезается по размеру.

Проверьте в консоли браузера (Ctrl+Shift+J, Хром точно показывает все заголовки) что ваш сайт присылает в CSP-заголовке.

Возможно, глючит cspbuilder.info.

PS: не забывайте, что report-uri должен быть указан с http:// или https://

давно интересует вопрос

сайт работает с такой настройкой csp

---

default-src 'self';

img-src 'self' blob: data:;

style-src 'self' 'unsafe-inline';

---

не мешает ли это ранжированию в яндексе, гугле

и надо ли обязательно вешать счетчики поиковиков?

CSP ранжированию не мешает, в топике есть ответ Яндекса по поводу CSP (спасибо big boy). С гуглом тоже проблем нет, более того, его робот-индексатор исполняет CSP при индексации сайта.

Счётчики поисковиков вешать не обязательно.

PS: Правила CSP у вас очень жесткие - полностью запрещены инлайн-скрипты и инлайн-хэндлеры в тэгах (типа onClick, onMouseOver...). Вы их не используете, или всё сделано на jQuery?

Прочитал более 70 страниц этой темы и соседней. В этой все более конструктивно. Есть один вопрос: я правильно понимаю, что файлы отчетов CSP появляются на ftp с задержкой?

Спасибо всем за интересную информацию. Тоже провожу эксперименты.

Пока вроде ничего левого нет. То ли действительно нет, то ли что-то не так настроил:)

Настроил CSP, в папке отчетов создаются vk.com с пустой violated-directive:

На сайт висит виджет Вконтакте + кнопки share от Яндекса.

прописано

frame-src - vk.com https://vk.com\

img-src - vk.com https://vk.com

Еще создаются www.google-analytics.com с пустой violated-directive:

Хотя прописал http://*.google-analytics.com http://google-analytics.com https://*.google-analytics.com https://google-analytics.com

Это нормально? Или я что-то не так делаю?

Для www.google-analytics.com разрешите *.google-analytics.com. И ошибка исчезнет.

Вместо http://*.google-analytics.com http://google-analytics.com https://*.google-analytics.com https://google-analytics.com

я прописываю так:

*.google-analytics.com https://*.google-analytics.com

Такие блокировки

http://google-analytics.com https://google-analytics.com

тоже могут понадобиться, но у меня не встречаются на низкопосещаемых сайтах. Если тысяч 5000 в день, то могут быть подобные запросы.

Как правило, этого достаточно:

*.google-analytics.com https://*.google-analytics.com

Не пишите http://. А https:// - нужно писать.

У кого-то имеется опыт включения tns-counter.ru (счетчик слежения за пользователями) в список разрешенных? Может доход увеличится...

что означают следующие строки в отчете:

что за урл data?