Ladycharm: У вас в CSP нет директивы frame-src, поэтому браузер инициирует её из default-src и при этом пишет, что заблокировано default-src, хотя реально блокируется в frame-src, как сказал samimages.
Директива была, но с ошибкой, сейчас всё исправил, большое спасибо.
Для форумов и блогов приходится делать директиву img-src полностью открытой:
img-src * data: https:
это не сильно снижает безопасность.
Так же, для форумов надо сразу открывать видео от Youtube, Vimeo, Mail.ru и откуда там они ещё могут вставлять клипы.
Извините пожалуйста, как же всё таки правильно выглядит полностью открытая директива img-src ?
PS: Не палевно открывать домен, по которому поисковики сразу увидят аффилированность сайта с сапой?
PS: Я глубоко убежден, что и без счетчика сапы, ПС прекрасно знают о присутствии сайта в этой системе :)
Посоветуйте пожалуйста как правильно поступить. На огромном сайте есть форум и блоги. Там юзеры вставляют к постам картинки. Картинки берут по принципу "где нашли оттуда и прицепили".
CSP всё это естественно блокирует. Как правильно сделать чтобы в определенных разделах сайта картинки не вырезались?
Сегодня на игровом сайте просто праздник какой то :))))))))))
Хотя может еще и спишут эти клики....
Такой вопрос, жил был сайт, приносил около 5$ в день.
Пару недель назад решил на нем сменить, блоки на "только текст". Доход сразу упал до 2$.
Через пару дней возвращаю назад "текст + графика" доход как был 2$ так и остался.
И уже неделю так и держится. Что это? Совпадение или надо куда-то писать, чего-то спрашивать?
http://www.acint.net
Это счетчик нового кода Сапы.
Vipper222, https://login.vk.com - во Frame просится...
Да, прошу прощения, ошибочка была.\
У вас в CSP нет директивы frame-src, поэтому браузер инициирует её из default-src и при этом пишет, что заблокировано default-src, хотя реально блокируется в frame-src, как сказал samimages.
Директива была, но с ошибкой, сейчас всё исправил, большое спасибо.
Еще вопрос, вот всякие https://login.vk.com, http://awaps.yandex.ru просятся в директиву default-src.
Это вообще безопасно добавлять что либо левое в default-src ?
Для форумов и блогов приходится делать директиву img-src полностью открытой:
это не сильно снижает безопасность.
Так же, для форумов надо сразу открывать видео от Youtube, Vimeo, Mail.ru и откуда там они ещё могут вставлять клипы.
Извините пожалуйста, как же всё таки правильно выглядит полностью открытая директива img-src ?
Правильный синтаксис до ;
Надо добавить в директивах следующее:
в script-src: 'unsafe-inline' *.acint.net https://*.acint.net acint.net https://acint.net
в img-src: *.acint.net https://*.acint.net acint.net https://acint.net
в style-src: 'unsafe-inline'
PS: Не палевно открывать домен, по которому поисковики сразу увидят аффилированность сайта с сапой?
PS: Я глубоко убежден, что и без счетчика сапы, ПС прекрасно знают о присутствии сайта в этой системе :)
Посоветуйте пожалуйста как правильно поступить. На огромном сайте есть форум и блоги. Там юзеры вставляют к постам картинки. Картинки берут по принципу "где нашли оттуда и прицепили".
CSP всё это естественно блокирует. Как правильно сделать чтобы в определенных разделах сайта картинки не вырезались?
Как правильно добавить в белый список acint.net ?
Насколько я понял его добавляет код sape для ихней метрики.
В какие секции его добавлять? Может кто-то уже протестировал это.
Malcolm,
Никаких с модулей цеплять при сборке nginx не нужно?
А вот такие вещи нужны?
add_header X-XSS-Protection "1; mode=block";
Или это из другой оперы?
add_header Content-Security-Policy вставляется в секцию server { или можно глобально на все сайты задать?
Начитался вот тут - https://gist.github.com/plentz/6737338
Ребят, а может кто-то помочь реализовать все это под nginx ?
Я Апача на серверах не держу совсем.
Погуглил немного, но одно старье попадается...