Не нравятся результаты поиска? Попробуйте другой поиск!

DLE FAQ » Все вопросы » Ламерские вопросы » Как правильно прописать Content Security Policy в htaccess для DLE?

Как правильно прописать Content Security Policy в htaccess для DLE?

justalex 18.11.2014 Content Security Policy, dle Все вопросы » Ламерские вопросы 6866

вопрос

Тема для всех тех у кого в метрике показываются внешние переходы на левые сайты типа gobongo.info luxup.ru и многие другие. Это результат вредоносных программ которые интегрируются в браузеры пользователей и когда пользователи заходят на ваш сайт они видят на нем разного рода рекламу, баннера, тизеры, всплывающие окна, и.т.д.

Главный минус в том, что эти переходы учитывает яндекс, после чего относит ваш сайт к неблагонадежным, который показывает много плохой рекламы, после чего занижает результаты выдачи и ваш сайт в яндексе теряет посещаемость до 75% трафика (!)

Чтобы этого избежать нужно применить Content Security Policy - прописать запрет на внешние ссылки и скрипты в .htaccess

Я нашел код, выглядит он так

# Security improvements

Header set Content-Security-Policy "allow 'self'; img-src * ; script-src AJAX.googleapis.com 'self'; frame-src 'none'; object-src 'none'"

но как адаптировать его для DLE я не знаю! Помогите кто знает!

Ответил: Webmaster

Попробуй добавить эту конструкцию в свой файл .htaccess

<ifModule mod_headers.c>
    # Улучшения безопасности
    Header unset Server
    # Header unset X-Pingback
    Header unset Accept-Ranges
    <FilesMatch "\.html>
        Header set X-Frame-Options "SAMEORIGIN"
        # Для IE
        BrowserMatch MSIE ie
        Header set Imagetoolbar "no" env=ie
        Header set X-Content-Type-Options "nosniff" env=ie
        Header set X-UA-Compatible "IE=edge" env=ie
        Header set X-XSS-Protection "1; mode=block" env=ie
        Header set X-Content-Security-Policy "default-src 'self'; img-src 'self' analytics.example.com; \
            script-src 'self' analytics.example.com ajax.googleapis.com; font-src 'self' data:" env=ie
        # Для Firefox
        BrowserMatch Firefox ff
        Header set Content-Security-Policy "default-src 'self'; img-src 'self' analytics.example.com; \
            script-src 'self' analytics.example.com ajax.googleapis.com; \
            font-src 'self' data:" env=ff
        # Для Safari
        BrowserMatch SAFARI safari
        Header set X-XSS-Protection "1; mode=block" env=safari
        Header set X-WebKit-CSP "default-src 'self'; img-src 'self' analytics.example.com; \
            script-src 'self' analytics.example.com ajax.googleapis.com; font-src 'self' data:" env=safari
        # Для Chrome
        BrowserMatch CHROME ch
        Header set X-Content-Type-Options "nosniff" env=ch
        Header set X-WebKit-CSP "default-src 'none'; img-src 'self' analytics.example.com; \
            script-src 'self' analytics.example.com ajax.googleapis.com; font-src 'self' data:" env=ch
        # Для Chrome
        BrowserMatch chromeframe chf
        Header set Imagetoolbar "no" env=chf
        Header set X-Content-Type-Options "nosniff" env=chf
        Header set X-UA-Compatible "IE=edge,chrome=1" env=chf
        Header set X-XSS-Protection "1; mode=block" env=chf
        Header set X-WebKit-CSP "default-src 'none'; img-src 'self' analytics.example.com; \
            script-src 'self' analytics.example.com ajax.googleapis.com; font-src 'self' data:" env=chf
    </FilesMatch>
</IfModule>

5 комментариев

Юзер

justalex - 2015-05-1321 ноября 2014 00:05 - #37835

Webmaster

Спасибо! Добавил, но в метрике все-равно появляются переходы, особенно много noname внешних ссылок, где нет даже названия, просто чекбокс и рядом пусто. Не подскажете как эта конструкция работает, она блокирует исполнение сторонних скриптов или как то иначе?

Юзер

145

shmel1985 - 2015-05-1321 ноября 2014 16:13 - #37862

Добрый день, скажите пожалуйста а как сделать данную манипуляцию если сервер настроен на nginx?
Спасибо.

Юзер

Webmaster - 2015-05-1321 ноября 2014 21:29 - #37872

Цитата: justalex

Добавил, но в метрике все-равно появляются переходы

Вообще Вам особо париться не нужно, сделайте фильтрацию как тут описано и всё...

Юзер

Webmaster - 2015-05-1321 ноября 2014 21:42 - #37873

Цитата: shmel1985

скажите пожалуйста а как сделать данную манипуляцию если сервер настроен на nginx?

Вот Вам ещё несколько мест где данную проблему активно обсуждают..., тут и тут...

Юзер

justalex - 2015-05-1323 ноября 2014 15:43 - #37928

Цитата: Webmaster

Вообще Вам особо париться не нужно

Да я бы и не парился, но упала посещалка при чем очень существенно, написал платону, тот ответил что сайт находится под фильтрами яндекса мол из-за агрессивной рекламы идущей якобы с моего сайта которая могла быть установлена без вашего ведома и.т.д. естественно никто не говорит где именно эта реклама встроена.

За последнее время я проверил сайт айболитом и удалил подозрительные коды в различных местах, обычно в JS скриптах а так же в шаблонах, но видимо до конца эту заразу не нашел, еще где-то наверняка остался какой то кусок кода который я не нашел

mondolfo | Шаблон waitlogin при авторизации через с ...

mondolfo
Шаблон waitlogin при авторизации через соцсеть?
Вчера, 01:31

/engine/modules/social.php
TeraMoune | Как изменить вывод custom по нескольким ... ¹¹

TeraMoune
Как изменить вывод custom по нескольким тегам?
28-10-2024, 01:05

Я же написал, продублирую: нужно использовать [[:punct:]]

И проблема в условии проверяющее версию mysql, можно поменять местами true и false, изменить знак меньше на больше или вовсе убрать код строки с version_compare и оставить ту строку кода $tempArray[] где используется [[:punct:]].

В статье также указано, что важно использовать экранирование, собственно, что и указано в методе по исправлению ошибки.
Статья по решению проблемы

Там у человека совершенно другое условие поиска. Он не теги ищет которые строго разделены запятыми, он просто слова ищет и ему как раз подойдёт граница слова. И это когда-то давно поиск был разделяя по границе слова, теперь есть character_class и используется другой метод. Но это не отменяет того, что вы нашли вопрос и решение которое никак не связано с темой новости поиска новостей с наличием тегов.
homa152 | Как изменить вывод custom по нескольким ... ¹¹

homa152
Как изменить вывод custom по нескольким тегам?
27-10-2024, 23:33

Если вы готовы предложить какое-то решение для исправление проблемы 3685, отлично. Иначе к сожалению на последних версиях MySQL хак не рабочий, согласно вашему трактату.
homa152 | Как изменить вывод custom по нескольким ... ¹¹

homa152
Как изменить вывод custom по нескольким тегам?
27-10-2024, 23:20

Я буквально 2 часа назад столкнулся с проблемами при установке этого хака, проблема была именно в ошибке 3685, сайт не просто переставал работать, использовалась стандартная заглушка при критических ошибках MySQL исправить получилось методом описанным выше, для версия до 8 хак работает исправно, но выше, требуется доработка, так как синтаксис считается ошибочным, вы можете проверить самостоятельно.

В статье также указано, что важно использовать экранирование, собственно, что и указано в методе по исправлению ошибки.
Статья по решению проблемы
TeraMoune | Как изменить вывод custom по нескольким ... ¹¹

TeraMoune
Как изменить вывод custom по нескольким тегам?
27-10-2024, 22:32

Напротив нужно использовать [[:punct:]] вместо скобок, про это написано в документации на которую вы ссылаетесь. А \b означает границу слова и не способен правильно отображать результаты. Граница слова это когда выражение будет находить отдельные слова. Например новость имеет теги (Социальная сеть, Блокировка) и tags REGEXP '\\b(сеть)\\b' найдёт новость с тегом Социальная сеть, а так же Рыбацкая сеть и в принципе найдёт все новости где присутствует слово "Сеть" и будет много лишних результатов, а не только нужные.

В хаке как раз присутствует проверка на старую версию и новую mysql и в каждом случае используется тот вариант который является валидным для используемой версии.
homa152 | Как изменить вывод custom по нескольким ... ¹¹
homa152
Как изменить вывод custom по нескольким тегам?
27-10-2024, 21:30
Добавлю касаемо обновления архитектуры MySQL
При добавлении хака с версии MySQL 8.0, возможно появление ошибки: 3685. Неверный аргумент для регулярного выражения.

Можно пофиксить самостоятельно внеся корректировки в сам хак из панели админа.

Строку:
```
$tempArray[] = "tags REGEXP '[[:<:]](" . $value  . ")[[:>:]]'";
```
Заменить на:
```
$tempArray[] = "tags REGEXP '\\\\b(" . $value  . ")\\\\b'";
```
Согласно справочному руководству MySQL 8.0 / ... / Регулярные выражения, «MySQL поддерживает регулярные выражения с помощью международных компонентов для Unicode (ICU)».

То есть, вместо "[[:<:]] и [[:>:]]", нужно использовать: "\b"
vitnet | Есть ли возможность изменить язык сайта? ¹

vitnet
Есть ли возможность изменить язык сайта?
25-10-2024, 16:22

Ну как вариант можно использовать тег {lang text=***} подробнее

{lang text="LANG_PARAMETER"}

Данный тег предназначен для вывода информации из языкового файла website.tpl, который в данный момент используется, где LANG_PARAMETER это значение параметра, который необходимо вывести. Например, тег {lang text="attach_images"} выведет надпись “Прикрепить изображения” из языкового пакета, в случае использования русского языка и если используется английский язык, то “Attach Images”
vitnet | Есть готовый модуль рейтинга комментарие ... ¹
vitnet
Есть готовый модуль рейтинга комментариев?
25-10-2024, 13:12
Вариант 1 (вручную)

1.0 Открываете файл engine/modules/show.full.php находите в нем
```
$where_approve . " ORDER BY " . PREFIX . "_comments.id " . $comm_msort;
```
И меняете здесь id на rating
Пример:
```
$where_approve . " ORDER BY " . PREFIX . "_comments.rating " . $comm_msort;
```
2.0 Затем переходите в админку /admin.php?mod=options&action=syscon --> Настройки комментариев --> Порядок сортировки комментариев --> По убыванию

2.1 Далее --> Тип рейтинга комментариев выставляете "Нравится или Не нравится"

Готово!

Вариант 2 (плагин)
Для просмотра содержимого спойлера, перейдите к выбранному событию.

Graf | Как сделать аякс кнопку "загрузить еще"? ²

Graf
Как сделать аякс кнопку "загрузить еще"?
23-10-2024, 16:03

Вот рабочий пример со скрытие пагинатора и кнопки.
Полный код файла navigation.tpl

[not-available=userinfo]
<div class="nav-load" id="nav-load">[next-link]Загрузить еще[/next-link]</div>

<nav class="navigation"[available=lastcomments] style="padding: 4% 8%;"[/available]>
	<div class="page_next-prev">
		<span class="page_prev" title="Предыдущая страница">
			[prev-link]<svg class="icon icon-left"><use xlink:href="#icon-left"></use></svg>[/prev-link]
		</span>
		<span class="page_next" title="Следующая страница">
			[next-link]<svg class="icon icon-right"><use xlink:href="#icon-right"></use></svg>[/next-link]
		</span>
	</div>
	<ul class="pagination">
		{pages}
	</ul>
</nav>
<script type="text/javascript">
$(document).ready(function(){
    
         $('body').on('click','#nav-load a',function(){
        var urlNext = $(this).attr('href');
        var scrollNext = $(this).offset().top - 200;
        if (urlNext !== undefined) {
            $.ajax({
                url: urlNext,
                beforeSend: function() {
                    ShowLoading('');
                },            
                success: function(data) {
                    $('.navigation').remove();
                    $('#nav-load').remove();
                    $('#dle-content').append($('#dle-content', data).html());
                    $('#dle-content').after($('#bottom-nav'));
                    window.history.pushState("", "", urlNext);
                    $('html, body').animate({scrollTop:scrollNext}, 800);    
                    HideLoading('');
                },
                  error: function() {                
                    HideLoading('');
                    alert('что-то пошло не так');
                  }
            });
        };
        return false;
    });
    
});
</script>
[/not-available]

vitnet | Как перенести категории в DLE? ²

vitnet
Как перенести категории в DLE?
22-10-2024, 11:30

Для начала проверьте наличие файла /engine/cache/system/category.php и если он был до замены БД то удалите его а ещё лучше очистить кеш.

наверх

Как правильно прописать Content Security Policy в htaccess для DLE?

Ответил: Webmaster

5 комментариев

Похожие вопросы

Запрет индексации страниц с ошибкой 404 Not Found

Категории и новости

Авто-клик по attachment

Классы модального окна

Не плохая а хреновая индексация страниц.

Сайт продолжает работает без адаптации на DLE 10 или я чего-то не понимаю?

Помогите в джаваскрипт коде!

Не работает видео с сайта в ВКонтакте. Как быть?

Как в htaccess запретить переход по внешней ссылке с сайта?

Как организовать категории сайта?