Настройка CSP - Content Security Policy

Скорее всего, это аналог null для FireFox (about:blank), запрос, посылаемый скриптами jquery для проверки связи (используют рекламные сети). Разбирался долго, но вроде это так.

Здесь речь идет по чистом "data" без всего, я так понял, что это данные скриптов (типа {data}), поскольку остальные указываются явно "data:text", а этот тип именно так: blocked-uri "data".

Redslon, не всё закрыли, еще переходят по нечисти все равно)

У меня вообще остались только переходы по моим банерам и моим же внешним ссылкам.

Я не программист, но первое что приходит в голову с файлом csp.php, это заменить все точки в названии создаваемого файла по домену, на скажем нижнее подчеркивание "_" и тогда файл не будет исполняем сервером как php скрипт в случае с вариантом если будут подсовывать injection.php или другие файлы с расширением php

у меня строка 36 37

                

 if($var_array[2]) {$var_array[2]=str_replace('.','_' , $var_array[2]); file_put_contents($_SERVER['DOCUMENT_ROOT'].'/csp/'.date("dmY").'/'.$var_array[2], 'violated-directive: '.$url1[1]."\nUSER_AGENT: ".$_SERVER['HTTP_USER_AGENT']."\nIP: ".$_SERVER['REMOTE_ADDR']."\n\r#---------------------------------------------------------------~\n", FILE_APPEND | LOCK_EX);} 

                 else {file_put_contents($_SERVER['DOCUMENT_ROOT'].'/csp/'.date("dmY").'/'.date("H").'-csp-report.txt', $print_data."\n".$_SERVER['HTTP_USER_AGENT']."\n".$_SERVER['REMOTE_ADDR']."\n----------------------------------------\n", FILE_APPEND | LOCK_EX); }

[ATTACH]140881[/ATTACH]

Свежий скрин.

Судя по нему - все хорошо. В скрине вырезал легальные переходы - домены на которые есть ВС на сайте. Остальное, видимо, грузится из кэша.

Для сравнения - вчерашний скрин

[ATTACH]140882[/ATTACH]

Redslon, если из кеша, то ок, а то там прямо первый джвикверис ру - это уже гавно-лпагин)

                
if ($var_array[2]) {
  $var_array[2]=str_replace('.','_' , $var_array[2]);
  file_put_contents($_SERVER['DOCUMENT_ROOT'].'/csp/'.date("dmY").'/'.$var_array[2], 'violated-directive: '.$url1[1]."\nUSER_AGENT: ".$_SERVER['HTTP_USER_AGENT']."\nIP: ".$_SERVER['REMOTE_ADDR']."\n\r#---------------------------------------------------------------~\n", FILE_APPEND | LOCK_EX);
  } 
  else {
    file_put_contents($_SERVER['DOCUMENT_ROOT'].'/csp/'.date("dmY").'/'.date("H").'-csp-report.txt', $print_data."\n".$_SERVER['HTTP_USER_AGENT']."\n".$_SERVER['REMOTE_ADDR']."\n----------------------------------------\n", FILE_APPEND | LOCK_EX);
  }

str_replace('.', '_', ...) - достаточно всеобъемлющее решение. Если если на сервере не включено принудительное исполнение php типа:

народ любит включать исполнение скриптов в файлах .css и .js для "удобства".

Есть базовые правила безопасности:

- Во всех папках, предназначенных для загрузки файлов, исполнение всех скриптов должно быть запрещено по-умолчанию. Это же не лишне делать для папок со стилями, js-скриптами и файлами, подключаемыми по include.

- Если папка не предназначена для доступа через web-интерфейс - она выносится за пределы DocumentRoot.

У меня статический IP и я делаю проще: все папки, не предназначенные для "паблика", имеют универсальный htaccess с Deny All и Allow Moй_IP. Он линкуется симлинком с одного места во все нужные папки сервера, поэтому смена IP - не вопрос.

catl, или не писать... целесообразность записей, при завершенной настройке, имеет исключительно научный смысл. Прямой необходимости, для работы CSP, в ней нет.

ЗЫ: для PHP лучше # использовать, тогда траблов с [] не будет

$var['1']

$var['1']

Посещаемость, цена клика и ещё куча параметров может отличаться в разные дни. Так вы можете +-20% не заметить легко. Нужно делать A/B тестирование чтоб показы шли параллельно в одно время - половина показов с CSP, половина без.

Пока ясно одно - часть показов сторонних сетей гугл крутит так, что они будут резаться CSP. Это однозначно должно снижать доходность AdSense. Но какое количество таких показов - черт его знает. Возможно незначительное, а возможно значительное.

Вот список сторонних сетей в adexchange https://support.google.com/3pascertification/table/4570113?hl=en

Я у себя в логах CSP (не сильно стараясь) обнаружил с десяток сетей из этого списка.

Одновременно CSP должно и в плюс влиять для адсенса - меньше мусора на сайте - больше кликают на адсенс. Возможно одно другое компенсирует.

Короче надо тестить, но тестить правильно ☝

Возможно, имеет смысл отключить все рекламные сети в adsense аккаунте, чтобы они зря не блокировались.

Sla, для России, я думаю процент сторонних сетей очень мал. Там в том списке есть что-то русское?