Настройка CSP - Content Security Policy

весь нормальный "скрипт" это один json_decode, после чего кладем данные куда либо - в SQL, в монгу, в csv(который потом перекладываем куда угодно)

Логи, вообще не так чтобы и нужны - ведь главное не кого блоканули, а кого пропустили.

Самый простой вариант этого - у заболоткина (http://zabolotskikh.com/tips/content-security-policy/)

Просто в csv. Делай потом что хочешь.

Еще более простые (и правильные) варианты идут с различными адаптерами к БД, это которые понимают синтаксис INSERT INTO xxx SET ?, где ? - фактически входящий json.

theKashey, этот вариант безопасный?

Разрешить tns-counter.ru ?

А я все таки разрешил. Доход от Google обвалился на 30%. Продолжал эксперимент 4 дня. Вчера с утра снес. В итоге доход восстановился.

Поскольку эта контора, как вы писали, связана и с Яндекс (на самом деле сейчас все друг с другом связаны), временно снесу доступ всех сервисов Яндекса. Посмотрим, какая будет реакция.

Больше похоже на ошибку в CSP при вставке этого домена, или у вас CSP обрезается по длине.

tns-counter.ru - безвредный счётчик-картинка для проекта «Социологическое исследование Российской аудитории Интернета» от компании Гэллап Медиа.

Но в этом случае, в логах должны быть ошибки. Хотя возможно, действительно, причина в другом. Снесу Яндекс, отпишусь по тестам.

Понадобилось встроить в WP. Задолбался вбивать домены, поэтому накидал быдлокод. Может кому пригодится.

function add_csp_header(){

	$csp = '';

	$sites = array('google-analytics.com', 'google.com', 'googleapis.com', 'gstatic.com', 'doubleclick.net', 'googlesyndication.com', 'yandex.ru');

	$uris = array('','*.','https://*.');

	$parts = array("default-src 'self' data:", "style-src 'self' 'unsafe-inline'", "frame-src 'self'", "img-src 'self'", "media-src 'self'","font-src 'self'", "script-src 'self' 'unsafe-inline' 'unsafe-eval'");



	foreach($parts as &$part){

		$csp .= $part.' ';

		foreach($sites as &$site){

			foreach($uris as &$uri){

				$csp .= $uri.$site.' ';

			}

		}

		$csp .= ';';

	}



	$csp = 'Content-Security-Policy: '.$csp.' report-uri /csp.php;';

	

	header($csp);

}

csp.php

<?php

$send = '';

$data = file_get_contents('php://input');



if ($array = json_decode($data, true)){



        $send .= "document-uri: ".$array['csp-report']['document-uri']."\n";

        $send .= "blocked-uri: ".$array['csp-report']['blocked-uri']."\n";

        $send .= "referrer: ".$array['csp-report']['referrer']."\n\n";

        $send .= $data."\n\r";



        mail('your@mail.com', 'CSP', $send."\n");

}



header("HTTP/1.0 204 No Response");

?>

на почту уведомление о каждой блокировке?! Вы это серьёзно?

Для отладки использую, можно закомментить.

А кто-нибудь пробовал использовать плагин для WP https://wordpress.org/plugins/wp-content-security-policy/ ?

kimon-promo, этот плагин - неудобный и без "доработки напильником" на работает как надо.