Архив метки: apache

Простой способ настроить Content Security Policy (CSP) для сайта

Зачем?

Настройка Content Security Policy для сайта — не мелочь, а необходимость. Мы не можем знать, что на той стороне у клиента, а это вполне может быть зараженный браузер, зараженные плагины и, в общем, что угодно. Выглядеть это может так: клиент открывает сайт, а вместо ваших рекламных блоков там чужие. Или клиент хочет куда-то нажать, но подгруженный кликандер злоумышленника перехватывает клик и отправляет клиента на левый сайт (возможно, вы найдете переходы на такие сайты в своей статистике LiveInternet).

Content Security Policy защищает пользователя от подобных атак, в явном виде указывая браузеру, откуда разрешено загружать тот или иной контент. Уже два года назад более половины используемых браузеров поддерживали CSP. Сейчас доля поддержки CSP 1.0 приближается к 90% (см. статистику тут).

Читать далее 

Переходы с Facebook и fb_source в URL

Когда к вам на сайт переходят по ссылке из Facebook, в URL добавляется параметр fb_source. Это, конечно, позволяет отслеживать, откуда конкретно идет трафик и всякие такие замечательные вещи, но вот особенность: если на странице стоит виджет комментариев ВКонтакте или кнопки Like/Мне нравится/Поделиться и тому подобное, то для них это будет совершенно отдельный сайт. Комментарии людей, равно как их лайки, предназначавшиеся вашему example.com, уйдут к example.com/?fb_source=hovercard (это так, к примеру).

Чтобы убрать fb_source из параметров, нужно сделать в .htaccess что-то вот такое:

# Turn Rewrite Engine on
RewriteEngine On
RewriteBase /

# Strip ?fb_source=whatever from any URL
RewriteCond %{QUERY_STRING} (^|&)fb_source=
RewriteRule ^(.*)$ /$1? [L,R=301]

В данном случае делается редирект 301 (redirected permanently) и дальнейшая обработка правил прекращается (флаг L).

Можно также удалять любые параметры полностью, но, к примеру, только для главной страницы:

# Strip query string from the root URL (homepage) completely
RewriteCond %{QUERY_STRING} !^$
RewriteRule ^$ /$1? [L,R=301]