Nam3D: Эти параметры делают полностью бесполезным CSP. Magic Player встраивается в блоки адсенса, директа и других популярных рекламных площадок, а другие плагины встраиваются в куда угодно: картинки, текст, видео с ютуба, после тега <script> в коде сайта. Потому нужно все скрипты выносить в отдельные файлы, тоже самое касается стилей. Если этого не сделать - можно особо не напрягаться с CSP.
Эти параметры у меня есть, однако переходов на гобонгу и прочую ересь сегодня не было ни единого 🙅
Если отключить inline и eval то не будут работать ни метрика, ни директ. Вынос их скриптов в файл к себе на сервер ничего хорошего не сулит и возможно будет считаться нарушением, за что могут исключить из РСЯ, к примеру.
Ladycharm: Судя по беглому осмотру скриптов TS magic Player, главное - eval не разрешать(CSP запрещает его по дефолту).
Тогда "их" inline-скрипты не будут работать, они практически все используют вызов eval.
Upd: Яндекс метрика использует eval() и перестаёт работать
Да и Директ тоже его использует. Получается что если eval будет разрешен, то скрипт не поможет от того же Magic Player с гобонгой?
Header set Content-Security-Policy-Report-Only "report-uri http://ваш_сайт/csp.php;"
В принципе почти разобрался с одним сайтом, добавил все внешние вызовы, каждый домен через запятую. Почерпнул из ваших примеров как использовать маску в CSP (http://), пробовал просто * - не получалось)
Прошелся по страницам с консолью - ошибок не возникало, но фал репортов все же хочется подключить, потому что мог что либо упустить.
PS: кстати, а таким образом никак не заблокировать Adblock? Он же тоже вмешивается в код сайта, блокируя элементы)
Запрещены инлайновые скрипты, разрешены инлайновые стили, коды счетчиков лайвинтернет, яндекс метрики и гугл аналитики.
Дополните по необходимости адреса (виджиты от соц сетей, cdn и тд)
'self' - это значит разрешено со своего домена.
script-src - разрешенный список скриптов
style-src - разрешенный список стилей
img-src - разрешенный список картинок
object-src - разрешенный список объектов (флеш и тд)
media-src - разрешенный список медиа (видео и аудио)
font-src - разрешенный список шрифтов
connect-sr - разрешенный список подключений
Смотрите на логи в консоли браузера (F12) на наличие ошибок и предупреждений.
Обращение к тем, кто хорошо разбирается во всем этом, может напишите инструкцию к популярным разрешенным сайтам? ☝
Ну например:
Счетчики Яндекс Метрика, Гугл Аналитика, Рамблер топ, LI
Хм... На аккаунте Яндекса видимо выбран прямой договор для РСЯ и в итоге не могу прикрепить существующие площадки, зарегистрированные через ЦОП. К чему Яндексу плодить новые логины?
Неужели никак ничего не сделать чтобы не регистрировать новый логин? По идее если заключен прямой договор, то почему бы его не расторгнуть и работать через ЦОП в интерфейсе РСЯ?
Пурфы то будут или чукча писатель?
Код метрики и директа периодически меняются/дополняются - каким образом будете отслеживать изменения, если на своем сервере окажется древняя версия?
Эти параметры делают полностью бесполезным CSP. Magic Player встраивается в блоки адсенса, директа и других популярных рекламных площадок, а другие плагины встраиваются в куда угодно: картинки, текст, видео с ютуба, после тега <script> в коде сайта. Потому нужно все скрипты выносить в отдельные файлы, тоже самое касается стилей. Если этого не сделать - можно особо не напрягаться с CSP.
Эти параметры у меня есть, однако переходов на гобонгу и прочую ересь сегодня не было ни единого 🙅
Если отключить inline и eval то не будут работать ни метрика, ни директ. Вынос их скриптов в файл к себе на сервер ничего хорошего не сулит и возможно будет считаться нарушением, за что могут исключить из РСЯ, к примеру.
Судя по беглому осмотру скриптов TS magic Player, главное - eval не разрешать(CSP запрещает его по дефолту).
Тогда "их" inline-скрипты не будут работать, они практически все используют вызов eval.
Upd: Яндекс метрика использует eval() и перестаёт работать
Да и Директ тоже его использует. Получается что если eval будет разрешен, то скрипт не поможет от того же Magic Player с гобонгой?
Ladycharm, скажите пожалуйста, куда это нужно вставлять, используя .htaccess:
И правильно строка написана? Смущает
Правильно так будет?
В принципе почти разобрался с одним сайтом, добавил все внешние вызовы, каждый домен через запятую. Почерпнул из ваших примеров как использовать маску в CSP (http://), пробовал просто * - не получалось)
Прошелся по страницам с консолью - ошибок не возникало, но фал репортов все же хочется подключить, потому что мог что либо упустить.
PS: кстати, а таким образом никак не заблокировать Adblock? Он же тоже вмешивается в код сайта, блокируя элементы)
Вот пример кода для .htaccess:
Запрещены инлайновые скрипты, разрешены инлайновые стили, коды счетчиков лайвинтернет, яндекс метрики и гугл аналитики.
Дополните по необходимости адреса (виджиты от соц сетей, cdn и тд)
'self' - это значит разрешено со своего домена.
script-src - разрешенный список скриптов
style-src - разрешенный список стилей
img-src - разрешенный список картинок
object-src - разрешенный список объектов (флеш и тд)
media-src - разрешенный список медиа (видео и аудио)
font-src - разрешенный список шрифтов
connect-sr - разрешенный список подключений
Смотрите на логи в консоли браузера (F12) на наличие ошибок и предупреждений.
Обращение к тем, кто хорошо разбирается во всем этом, может напишите инструкцию к популярным разрешенным сайтам? ☝
Ну например:
Счетчики Яндекс Метрика, Гугл Аналитика, Рамблер топ, LI
Контекст Директ, Adsense
Виджеты Твиттера, Вконтакте, Facebook
Да, странно. Перешел на договор еще в начале июля и соответственно адрес страницы указан старый. Могли бы и редирект сделать, раз на то пошло.
Ответ на последний вопрос так и не был получен?
Алексей, не планируется появление оффера Origin EA?
webliberty, вам надо либо перенести площадки на работу по прямому договору, раз вы так зарегистрировали аккаунт. Либо создать новый логин.
Ну почему нельзя сменить тип аккаунта? Документов же я не подписывал никаких с договорами, активных площадок нет на аккаунте в Яндексе
Хм... На аккаунте Яндекса видимо выбран прямой договор для РСЯ и в итоге не могу прикрепить существующие площадки, зарегистрированные через ЦОП. К чему Яндексу плодить новые логины?
Неужели никак ничего не сделать чтобы не регистрировать новый логин? По идее если заключен прямой договор, то почему бы его не расторгнуть и работать через ЦОП в интерфейсе РСЯ?