Настройка CSP - Content Security Policy

G
На сайте с 18.06.2008
Offline
98
#751

Ladycharm, подскажите, пожалуйста.

Я добавила в .htaccess код из вот этого поста

получила вот такую ситуацию в консоли: скрин в аттаче

Сайт на Wordpress. Два дня читала и пробовала, но не получилось. И как лучше: вставлять код в header, или в .htaccess?

jpg 145982.jpg
K
На сайте с 06.09.2014
Offline
18
#752

Лучше в .htaccess

O
На сайте с 20.10.2015
Offline
39
#753

Ladycharm, а как можно с вами связаться на счёт профессиональной помощи в настройке CSP? Заранее спасибо за ответ!

L
На сайте с 07.12.2007
Offline
351
#754
Gwendi:
получила вот такую ситуацию в консоли: скрин в аттаче

По поводу ошибок:

- домен connect.facebook.net надо добавить в connect-src (у вас используются виджеты фэйсбука 2-х типов, и, тот, который HTML5 - использует connect)

- алерт(про default-src) можно проигнорировать, это просто предупреждение о бессмысленности использования Content-Security-Policy-Report-Only при неуказанном report-uri - "они" не понимают, что блокировки можно посмотреть в консоли браузера :)

Если добавить report-uri - этого алерта не будет, после перевода CSP в боевой режим (Content-Security-Policy) - его не будет тоже.

Gwendi:
И как лучше: вставлять код в header, или в .htaccess?

Правильнее всего заголовки выдавать движком сайта на PHP. Можно проверять UserAgent и:

- не отдавать CSP "проблемным" браузерам

- давать другую CSP для мобильных устройств

- давать другой заголовок («X-WebKit-CSP» или «X-Content-Security-Policy»)

Удобно вносить исправления и можно проводить различные эксперименты.

В .htaccess очень неудобно вносить правки и любая ошибка в .htaccess -> ошибка сервера 502.

htaccess-а не бывает на серверах под nginx, плюс, некоторые хостеры не позволяют рулить заголовками через htaccess.

Поэтому, для WordPressa - перспективнее вставлять в header.php, но, иметь ввиду, что при смене темы он перезапишется на новый.

PS: Gwendi, прочитайте личку!

[Удален]
#755

вопрос: как настроить CSP для твиттера, чтобы не блокировал ссыль виджета социальных кнопок http://platform.twitter.com/widgets/tweet_button.a428ab2e859e8008e0df5404770eb017.ru.html#_=1445344482747&count=vertical&dnt=false&id=twitter-widget-0&lang=ru&original_referer=http%3A%2F%2Fsite.com%2Fabout%2F&size=m&text=%D0%9E%20%D1%81%D0%B0%D0%B9%D1%82%D0%B5%3A%20http%3A%2F%2Fsite.com%2F%3Fp%3D565&type=share&url=http%3A%2F%2Fdsite.com%2Fabout%2F

такой вариант не работает:

#Header set Content-Security-Policy-Report-Only
<ifModule mod_headers.c>
Header set Content-Security-Policy "script-src 'self' 'unsafe-inline' 'unsafe-eval' *.twitter.com twitter.com https://twitter.com https://*.twitter.com http://twitter.com http://*.twitter.com;"
</IfModule>
L
На сайте с 07.12.2007
Offline
351
#756
webmaster domainer:
вопрос: как настроить CSP для твиттера, чтобы не блокировал ссыль виджета социальных кнопок

CSP для виджетов и кнопок Твитетра:

frame-src 'self' *.twitter.com https://*.twitter.com;
img-src 'self' *.twimg.com https://*.twimg.com *.twitter.com https://*.twitter.com;
script-src 'self' 'unsafe-inline' *.twimg.com https://*.twimg.com *.twitter.com https://*.twitter.com;
style-src 'self' 'unsafe-inline' *.twitter.com https://*.twitter.com;
[Удален]
#757

спасибо, получилось в таком формате:

<ifModule mod_headers.c>
Header set Content-Security-Policy "script-src 'self' 'unsafe-inline' 'unsafe-eval' *.twimg.com https://*.twimg.com *.twitter.com https://*.twitter.com *.facebook.com https://*.facebook.com *.facebook.net *.tynt.com *.yandex.net https://site.yandex.net https://yastatic.net yastatic.net an.yandex.ru awaps.yandex.ru vk.com https://vk.com mc.yandex.ru clck.yandex.ru yandex.st https://*.googleapis.com https://*.google.com *.google.com *.gstatic.com https://*.gstatic.com www.google-analytics.com https://www.google-analytics.com *.googlesyndication.com https://*.googlesyndication.com *.googleapis.com *.doubleclick.net;object-src 'self' https://*.googleapis.com www.youtube.com https://www.youtube.com *.gstatic.com; frame-src 'self' *.facebook.com https://*.facebook.com bcp.crwdcntrl.net yastatic.net awaps.yandex.ru vk.com https://vk.com https://login.vk.com yandex.st www.youtube.com https://www.youtube.com *.googlesyndication.com *.doubleclick.net https://*.doubleclick.net https://*.google.com *.google.com mc.yandex.ru www.youtube.com; connect-src 'self' mc.yandex.ru www.google-analytics.com https://www.google-analytics.com;"
Header set Content-Security-Policy "frame-src 'self' *.twitter.com https://*.twitter.com;"
Header set Content-Security-Policy "img-src 'self' *.twimg.com https://*.twimg.com *.twitter.com https://*.twitter.com;"
Header set Content-Security-Policy "style-src 'self' 'unsafe-inline' *.twitter.com https://*.twitter.com;"
</IfModule>
L
На сайте с 07.12.2007
Offline
351
#758

webmaster domainer, если отдавать несколько заголовков Content-Security-Policy - броузер их не суммирует и отрабатывает только последний из них. То есть, в вашем случае, будет работать только заголовок Header set Content-Security-Policy "style-src 'self' 'unsafe-inline' *.twitter.com https://*.twitter.com;"

Надо делать всё в одном Header set Content-Security-Policy "..."

G
На сайте с 18.06.2008
Offline
98
#759
Ladycharm:

- алерт(про default-src) можно проигнорировать, это просто предупреждение о бессмысленности использования Content-Security-Policy-Report-Only при неуказанном report-uri - "они" не понимают, что блокировки можно посмотреть в консоли браузера :)
Если добавить report-uri - этого алерта не будет, после перевода CSP в боевой режим (Content-Security-Policy) - его не будет тоже.

как правильно прописать ссылку на . "report-uri ?

T
На сайте с 01.07.2010
Offline
128
#760

С помощью CSP можно ли как то блокировать работу adblock?

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий