Проверьте, как выглядит секция object-src в которой все разрешено - Безопасность

Настройка CSP - Content Security Policy

ctit ctit · 2020-07-28T15:09:27.0000000Z

Тема /ru/forum/866823 разрослась, поэтому вопросы безопасности сайтов вынесу в новую тему. Резюме прошлой темы: 1) рост плагинов, которые подменяют код рекламы AdSense, Яндекс.РС и другие на свой вирусный код. 2) Защита возможна через CSP (но не на 100%) и через javascript. Для настройки блокировки через CSP, например, для допуска кода AdSense можно использовать следующий заголовок (в файле .htaccess): <ifModule mod_headers.c> Header set Content-Security-Policy "default-src 'self' мой_сайт;script-src 'self' 'unsafe-inline' 'unsafe-eval' мой_сайт advapi.ru http://10.20.2.42:15871 *.akamaihd.net *.amazonaws.com *.ytimg.com http://*.whisla.com https://*.googleapis.com https://*.google.com *.google.com *.gstatic.com https://*.gstatic.com www.google-analytics.com https://www.google-analytics.com http://*.googlesyndication.com https://*.googlesyndication.com *.googleapis.com *.doubleclick.net;object-src 'self' http://*.ytimg.com *.macromedia.com *.adobe.com https://*.adobe.com https://*.googleapis.com http://www.youtube.com https://www.youtube.com *.gstatic.com;style-src 'self' 'unsafe-inline' мой_сайт https://* http://netdna.bootstrapcdn.com;img-src * data: мой_сайт; media-src 'self' * mediastream: *;frame-src 'self' 'unsafe-eval' blocking.stat *.yahoo.com *.hubrus.com http://yandex.sc http://www.youtube.com https://www.youtube.com http://*.googlesyndication.com *.doubleclick.net https://*.doubleclick.net https://*.google.com http://*.google.com;font-src 'self' мой_сайт *;connect-src 'self' https://www.youtube.com *.googlevideo.com https://*.gstatic.com;report-uri http://мой_сайт/csp.php" </IfModule> При этом код файла отчета может иметь следующий вид: function spam($data) { $mas[]=Array(список для игнора); $kol=count($mas); $result=0; for ($i=0; $i<$kol; $i++) { if ( ($mas[$i])&&(strpos($data,$mas[$i])) ) $i=$kol; } return $result; } header("HTTP/1.0 204 No Response"); $data = file_get_contents('php://input'); if ($data = json_decode($data)) { $data = json_encode($data)."\n\r"; if (spam($data)==0) file_put_contents($_SERVER['DOCUMENT_ROOT'].'/путь/'.date("H").'-csp-report.txt', $data."\n", FILE_APPEND | LOCK_EX); }

V2

63

Vipper222

4 марта 2015, 23:27

#391

Что-то очень много последнее время стало блокироваться домена am15.net который принадлежит рекламной сети advmaker с которой я не работаю.

Его точно не могут использовать ЯД и Адсенс ?

Ladycharm:
Жду, когда кто-нибудь их "айфонщиков" CSP поставит и расскажет "чо происходит".

Да нормально вроде всё. В семье есть одна такая гадость как Айфон, смотрел с него свои сайты которые работают с CSP, ничего подозрительного не увидел.

mebel-make (http://mebel-make.ru/)

Резкое падение позиций в Яндекс, станьте же и Продажа домена, тИц 130,

356

big boy

5 марта 2015, 08:27

#392

Vipper222:
Что-то очень много последнее время стало блокироваться домена am15.net который принадлежит рекламной сети advmaker с которой я не работаю.
Его точно не могут использовать ЯД и Адсенс ?

Этот домен во многих базах в блек листе. Смею предположить, что его используют тулбарщики.

1

✔ Как я генерирую статьи через ИИ, которые приносят трафик - https://webmasta.ru/blog/16-vkalyvayut-roboty-ne-chelovek-stati-s-pomoschyu-ii-kotorye-prinosyat-trafik

L

351

Ladycharm

5 марта 2015, 11:02

#393

Vipper222:
Что-то очень много последнее время стало блокироваться домена am15.net который принадлежит рекламной сети advmaker с которой я не работаю.
Его точно не могут использовать ЯД и Адсенс ?

Реклама Адсенс работает на платформе doubleclick.net, и использует только собственные скрипты для размещения баннеров и фреймов. Иначе они не смогут таргетировать рекламу, отслеживать конверсию, учитывать клики и тп.

У advmaker/am15.net - свои скрипты и свой ифрейм.

У Директа - то же самое. Плюс, в скрипты Директа встроена Метрика - он тоже всё подсчитывает сам. К тому же, Директ не размещается в iframe, а скрипты AdvMaker - показывают рекламу именно в ифрейме, посмотрите их скрипты.

am15.net - тулбарщики и всякое malware. За исключением случаев сознательной установки вебмастером рекламы от AdvMaker (кроме подпольной, у AdvMaker-а есть и белая официальная партнёрская программа).

Vipper222:
Да нормально вроде всё. В семье есть одна такая гадость как Айфон, смотрел с него свои сайты которые работают с CSP, ничего подозрительного не увидел.

Это радует. Ещё бы посмотреть, что при этом сыпется в отчётах CSP. Зайти вечером, когда кроме вас с айфоном никого нет на сайте и проверить.

Adfinity - Ваш надежный Качество отбора сайтов в Заблокировали за выстроенную чужую

V2

63

Vipper222

5 марта 2015, 16:14

#394

Ladycharm, Скажите пожалуйста как будет правильно выглядеть секция object-src в которой всё разрешено?

У меня в одном из разделов сайта висит флеш проигрыватель для прослушивания радио.

Что интересно, если через Хром слушать, то CSP не блокирует радиостанции, а вот Мозила блокирует. Когда CSP установил, проверил радио в Хроме, все работает и успокоился. А сегодня юзеры начали в обратку жаловаться, что радио перестало работать, начал разбираться, действительно, в Мозиле блочит. Пришлось весь плейлист заносить в CSP.

Сейчас думаю как в nginx правильно все разрешить в определенном location

Ladycharm:
Это радует. Ещё бы посмотреть, что при этом сыпется в отчётах CSP. Зайти вечером, когда кроме вас с айфоном никого нет на сайте и проверить

Обязательно проверю как будет такая возможность. Правда как правило на сайте всегда есть народ. Надо будет по моему ip собрать отчеты.

Переходы с сайта на Резкое падение позиций в Оцените сайт

L

351

Ladycharm

6 марта 2015, 01:57

#395

Vipper222:
как будет правильно выглядеть секция object-src в которой всё разрешено?

Так повелось исстари, что все браузеры понимают *, то есть object-src *; откроет все протоколы и все домены.

Хотя, согласно строгой нотации w3c, * можно использовать только вместо доменного имени и номера порта. Вместо протокола * не используется.

То есть, w3c требует в директиве перечислять протоколы:

object-src http://* https://*;

или

object-src http: https:;

обе записи эквивалентны и работают так же, как и:

object-src *;

Проверено тестами.

Vipper222:
У меня в одном из разделов сайта висит флеш проигрыватель для прослушивания радио.
Что интересно, если через Хром слушать, то CSP не блокирует радиостанции, а вот Мозила блокирует.

Посмотрите в Мозилле в консоли яваскрипта что блокируется CSP.

Плееры, кроме object-src, могут использовать connect-src для потокового видео/аудио.

1

Ходит ли Google по Как задать src порт Резкое падение позиций в

356

big boy

7 марта 2015, 07:40

#396

Пообщался с Платоном и удалось кое что выяснить. В процессе общения так же задавал вопросы личного характера, так что цитаты только по теме (ответы курсивом):

А что вы можете сказать по поводу Content Security Policy? Как в целом это может повлиять (или нет) на ранжирование сайта? Это защищает сайт от подмены кода в браузерах пользователей. Учитывает ли этот момент Яндекс?
Санкций за это у нас не предусмотрено. Надеюсь, я ответил на ваш вопрос.

Спасибо за ответ! Только я немного не понял. Вы имеете ввиду (1) отсутствие санкций за использование Content Security Policy или то, что у вас (2) нет санкций за подмену кода на сайтах на стороне клиента различными тулбарами, за которые вебмастер не в ответе?
Верно и (1) и (2).

Так что за левые переходы выходит санкций нет. Что собственно логично, ибо пришлось бы банить практически все сайты. Я думаю, что яшу этот шум научили фильтровать на автомате. А может и нет.

Изменение поисковой выдачи 01.11.13 Что за сервис? Подать в суд за

77

Xaron

7 марта 2015, 16:05

#397

Делал как здесь в примерах приводили код php-файла, формирующего отчет - по какой то причине не создает файлик с отчетом.

Создавать должен (заголовок отдает - смотрел через rexswain.com), проверял на коде LI, не добавлял его в перечень - на сайте счетчик не срабатывал, но отчет не создавался (права 777 указывал).

Сервис cspbuilder.info не работает второй день, так что им воспользоваться не получилось.

Могу судить только по отсутствию переходов по статистике LI, что CSP работает как надо, но хочу знать, что и сколько ломиться.

Видел в теме упоминание, что по report-uri можно на e-mail отправлять - как это сделать?

И второй момент.

При вот этой политике:


default-src·'self'·*.САЙТ.РФ·САЙТ.РФ;·

script-src·'self'·'unsafe-inline'·'unsafe-eval'·*.САЙТ.РФ·САЙТ.РФ·*.yandex.ru·yandex.ru·*.yandex.net·yandex.st·*.yandex.st·counter.yadro.ru·*.yadro.ru·https://*.yadro.ru·https://counter.yadro.ru;·

frame-src·'self'·*.САЙТ.РФ·САЙТ.РФ·*.yandex.ru·yandex.ru·*.yandex.net·yandex.st·*.yandex.st;·

connect-src·'self'·*.САЙТ.РФ·САЙТ.РФ·mc.yandex.ru·counter.yadro.ru·*.yadro.ru·https://*.yadro.ru·https://counter.yadro.ru;·

style-src·'self'·'unsafe-inline'·'unsafe-eval'·*.САЙТ.РФ·САЙТ.РФ·*.yandex.ru·https://*.yandex.ru·data:;·

font-src·'self'·*.САЙТ.РФ·САЙТ.РФ·*.yandex.ru·https://*.yandex.ru·data:;·

img-src·'self'·*.САЙТ.РФ·САЙТ.РФ·*.yandex.net·*.yandex.ru·yandex.ru·yandex.st·https://*.yandex.net·https://*.yandex.ru·counter.yadro.ru·*.yadro.ru·https://*.yadro.ru·https://counter.yadro.ru·data:;·

object-src·'self'·an.yandex.ru·https://an.yandex.ru;

не срабатывает вот этот скрипт LI по учету переходов по ссылкам. Как исправить?

P.S. На сайте используется яндекс метрика, счетчик LI + скрипт учета ссылок, рекламная сеть яндекса, кнопки соц. сетей share42 (еще пара мелких примочек, но они работают с использованием скриптов, которые подгружаю с *.yandex.st).

Беда wap рынка. Гугл GA теряет половину трафика Резкое падение позиций в

119

Malcolm

7 марта 2015, 16:36

#398

Xaron:
не срабатывает вот этот скрипт LI по учету переходов по ссылкам. Как исправить?

Добавить www.liveinternet.ru в img-src

77

Xaron

7 марта 2015, 17:04

#399

Malcolm:
в img-src

Почему сюда?

Не фурычит в смысле.

138

Ilekor

7 марта 2015, 17:24

#400

Xaron:
Почему сюда?
Не фурычит в смысле.

http://*.yadro.ru https://*.yadro.ru вставить в img-src

Лучший дорген 21 века AgDor(http://agdor.info)

Зачем быть уникальным в мире, где все можно скопировать

VK приобрела 70% в структуре компании-разработчика red_mad_robot

Настройка CSP - Content Security Policy