Если прописывать script-src 'unsafe-inline' 'unsafe-eval' - сайт работает нормально, но в этом нет смысла с точки зрения цели внедрения CSP.
Если убрать 'unsafe-inline' 'unsafe-eval', то наверное так безопаснее, зато сайт перестаёт работать. Не загружаются родные скрипты, шаблоны рвуться, функционал не работает (тот же wysiwyg глючит).
На будущее всем: в репортах могут отображаться не все блокировки, иногда надо смотреть вручную. Для этого в Firefox есть расширение Firebug > жмём F12 > Консоль > там будут ошибки вида:
Content Security Policy: Параметры страницы заблокировали загрузку ресурса... и дальше правило в котором не разрешен указанный ресурс.
В моём случае блокировались адреса: ytimg.com, googlevideo.com и doubleclick.net
---------- Добавлено 23.02.2015 в 13:00 ----------
pavel419, всё это не с ноября началось, а уже несколько лет длится. Просто начали обращать внимание недавно.
В отчетах у меня тоже вроде как всплеск в ноябре, но на самом деле это не так. Дело в том, что редиски тоже не тупые и постоянно меняют домены.
Текущая пачка, например pozitivrekl.ru, chinarestaurantglencarbon.com, jquerys.ru, musicalert.ru, quick-searcher.net и другие получили своё распространение именно с ноября.
мы будем транслировать ваши рекламные баннеры прямо в браузеры пользователей
---------- Добавлено 23.02.2015 в 13:12 ----------
Кто-нибудь пробовал писать Платону с проблемными сайтами после установки CSP? Позиции возвращали?
---------- Добавлено 23.02.2015 в 13:22 ----------
Мой промежуточный результат после установки CSP (около 8-9 часов после установки).
Adsense:
CTR вырос на ~30%
CPM упал на ~25%
CPC упал с $0,05 до $0,03
Посещаемость по ливеру - сегодня +900 посетителей и +2000 просмотров, хотя понедельник и обычно идёт спад с такими же показателями. Возможно стояли редиректы, которые CSP благополучно порезал.
Осталось докрутить для адсенса. Мне кажется, что режу что-то нужное, но еще не нащупал.
Почему-то после настройки csp видео с тытрубы через <iframe><embed> работает, а через <object> не хочет. Настройки для youtube у object-src и frame-src совпадают.
pavel419, на указанном мной сервисе есть отчеты, которые формируют блокированные запросы. Их за пол часа (ненужных) набралось более 4 000 штук. Так понятнее? :)
Кстати, рекомендую, ребят. Оно мне реально кучу времени сэкономило, не поленюсь еще раз линк вставить, да простят меня модеры: https://cspbuilder.info
Заносим их сгенерированный header на сайт.
Смотрим репорты, отмечаем то, что хотим оставить.
Получаем готовое правило для CSP любого вида.
Короче говоря, полуавтоматическая генерация CSP для домохозяек )))
Plazik: big boy, на стандартной теме тоже пропали?
Да, админская тема - RootCandy Dark. Как залил её почти 4 года назад, так и не трогал с тех пор. Сделана специально для админской части и можно сказать стандартная.
Специально для эксперимента включил Garland - никаких изменений.
Давеча единственное, что менял - сделал несколько страниц через panels, на которых отключил вывод регионов, но эта настройка отключения в моей теме работает только для сайдбара.
Уже не знаю, куда копать. Мне Workflow настраивать надо, а застопорился в самом начале - после создания материала не видно выводимых юзеру сообщений.
---------- Добавлено 18.02.2015 в 21:39 ----------
Буржуи писали, что иногда в базе uid 0 слетает, типа может быть из-за этого конфликт - проверил, всё на месте.
Еще нашел пару похожих топиков, но там народ только руками разводит.
D6. Не с того ни с сего пропали статусные сообщения. К примеру, когда чистишь кеш или добавляешь новый материал. Шаблоны не менялись. Не видно ни на сайте, ни в админке
В page.tpl.php:
<?php if (!empty($messages)): ?> <!-- сообщение --> <p><?php print $messages; ?></p> <!-- /сообщение --> <?php else : ?> <!-- сообщений нет --> <?php endif; ?>
И независимо от положения вещей всегда в коде: <!-- сообщений нет -->
В общем у меня ситуация следующая.
Если прописывать script-src 'unsafe-inline' 'unsafe-eval' - сайт работает нормально, но в этом нет смысла с точки зрения цели внедрения CSP.
Если убрать 'unsafe-inline' 'unsafe-eval', то наверное так безопаснее, зато сайт перестаёт работать. Не загружаются родные скрипты, шаблоны рвуться, функционал не работает (тот же wysiwyg глючит).
Как быть?
ctit, таких ошибок не видел, по крайней мере ни в отчетах, ни в консоли.
Итак, почти 14 часов прошло с установки CSP. Доход adsense упал.
adhigh.net - чей это зверь? Просится часто. Такие вариации, как ft7-de.adhigh.net, ft8-de.adhigh.net, px.adhigh.net и тд.
А зачем два раза два раза повторять ключи в тайтле?
По сабжу - пс на разделители пофиг.
Разобрался с Youtube! Сейчас расскажу как.
На будущее всем: в репортах могут отображаться не все блокировки, иногда надо смотреть вручную. Для этого в Firefox есть расширение Firebug > жмём F12 > Консоль > там будут ошибки вида:
Content Security Policy: Параметры страницы заблокировали загрузку ресурса... и дальше правило в котором не разрешен указанный ресурс.
В моём случае блокировались адреса: ytimg.com, googlevideo.com и doubleclick.net
Добавил его в object-src (помимо всего прочего):
Теперь ролики с Youtube работают в любом виде.
И вопрос. Нужно ли дублировать адреса c http и без? https понятно, что надо, а такая запись:
ytimg.com
и
http://ytimg.com
не является ли дубляжом?
---------- Добавлено 23.02.2015 в 13:00 ----------
pavel419, всё это не с ноября началось, а уже несколько лет длится. Просто начали обращать внимание недавно.
В отчетах у меня тоже вроде как всплеск в ноябре, но на самом деле это не так. Дело в том, что редиски тоже не тупые и постоянно меняют домены.
Текущая пачка, например pozitivrekl.ru, chinarestaurantglencarbon.com, jquerys.ru, musicalert.ru, quick-searcher.net и другие получили своё распространение именно с ноября.
По сабжу, ребята вообще страх потеряли - http://www.surfearner.com
---------- Добавлено 23.02.2015 в 13:12 ----------
Кто-нибудь пробовал писать Платону с проблемными сайтами после установки CSP? Позиции возвращали?
---------- Добавлено 23.02.2015 в 13:22 ----------
Мой промежуточный результат после установки CSP (около 8-9 часов после установки).
Adsense:
Посещаемость по ливеру - сегодня +900 посетителей и +2000 просмотров, хотя понедельник и обычно идёт спад с такими же показателями. Возможно стояли редиректы, которые CSP благополучно порезал.
Осталось докрутить для адсенса. Мне кажется, что режу что-то нужное, но еще не нащупал.
Почему-то после настройки csp видео с тытрубы через <iframe><embed> работает, а через <object> не хочет. Настройки для youtube у object-src и frame-src совпадают.
Тогда почему один метод пашет, а другой нет?
В репортах пусто.
pavel419, на указанном мной сервисе есть отчеты, которые формируют блокированные запросы. Их за пол часа (ненужных) набралось более 4 000 штук. Так понятнее? :)
Кстати, рекомендую, ребят. Оно мне реально кучу времени сэкономило, не поленюсь еще раз линк вставить, да простят меня модеры: https://cspbuilder.info
Заносим их сгенерированный header на сайт.
Смотрим репорты, отмечаем то, что хотим оставить.
Получаем готовое правило для CSP любого вида.
Короче говоря, полуавтоматическая генерация CSP для домохозяек )))
Не знаю, давали линк в теме или нет, но вот - https://cspbuilder.info/static/#/main/
С помощью него генерирую сейчас правила. Примерно за пол часа работы сервис собрал около 4000 левых запросов. Я в шоке.
big boy, на стандартной теме тоже пропали?
Да, админская тема - RootCandy Dark. Как залил её почти 4 года назад, так и не трогал с тех пор. Сделана специально для админской части и можно сказать стандартная.
Специально для эксперимента включил Garland - никаких изменений.
Давеча единственное, что менял - сделал несколько страниц через panels, на которых отключил вывод регионов, но эта настройка отключения в моей теме работает только для сайдбара.
Уже не знаю, куда копать. Мне Workflow настраивать надо, а застопорился в самом начале - после создания материала не видно выводимых юзеру сообщений.
---------- Добавлено 18.02.2015 в 21:39 ----------
Буржуи писали, что иногда в базе uid 0 слетает, типа может быть из-за этого конфликт - проверил, всё на месте.
Еще нашел пару похожих топиков, но там народ только руками разводит.
D6. Не с того ни с сего пропали статусные сообщения. К примеру, когда чистишь кеш или добавляешь новый материал. Шаблоны не менялись. Не видно ни на сайте, ни в админке
В page.tpl.php:
И независимо от положения вещей всегда в коде: <!-- сообщений нет -->
Добавлю и своего нытья. На скрине CPM, весь аккаунт с ноября 2014 по сегодняшний день. Такими темпами объявления скоро бесплатными станут.