Content Security Policy

 
<IfModule mod_headers.c>
Header set Content-Security-Policy "default-src 'unsafe-inline' 'unsafe-eval' 'self' data: https://www.youtube.com https://yastatic.net https://fonts.gstatic.com https://mc.yandex.ru https://www.googletagmanager.com https://www.google-analytics.com https://fonts.googleapis.com"
</IfModule>
 

 
//////////////////////////*******************
//все HTTP-запросы на https //header("Content-Security-Policy: upgrade-insecure-requests;");
//default-src //В этой директиве задаются белые списки хостов, которые будут автоматически присвоены не заданным директивам.
//script-srс //Белый список хостов с которых разрешается загрузка javascript
//style-src //Белый список хостов с которых разрешается загрузка css
//object-src //Белый список хостов с которых разрешается загрузка Flash-подобных плагинов
//img-src //Белый список хостов с которых разрешается загрузка картинок
//media-src //Белый список хостов с которых разрешается загрузка аудио и видео
//frame-src //Белый список хостов с которых разрешается загрузка iframe'ов
//font-src //Белый список хостов с которых разрешается загрузка шрифтов
//connect-src //Спецдирективы для XMLHttpRequest, WebSocket и EventSource. Для каждой директивы задаётся список хостов, с которыми разрешено общаться браузеру.
//report-uri //Url, на который будет отсылаться JSON-отчёт о нарушениях политики.
//////////////////////////*******************
 

 
<IfModule mod_headers.c>
Header set Content-Security-Policy "default-src 'unsafe-inline' 'unsafe-eval' 'self' data: https://www.youtube.com https://vk.com https://yastatic.net https://fonts.gstatic.com https://mc.yandex.ru https://www.googletagmanager.com https://www.google-analytics.com https://fonts.googleapis.com; object-src 'none'"
</IfModule>
 

 
/**
 * Можно предотвратить атаки с использованием подмены MIME типов, добавив этот заголовок ответа HTTP.
 * Заголовок содержит инструкции по определению типа файла и не допускает сниффинг контента.
 * При конфигурации потребуется добавить только один параметр: “nosniff”.
 */
header( 'X-Content-Type-Options: nosniff' );
 

 
//все HTTP-запросы на https
header("Content-Security-Policy: upgrade-insecure-requests;");
 

 
//В этой директиве задаются списки хостов, которые будут автоматически присвоены не заданным директивам.
header( "Content-Security-Policy: default-src 'self' site.ru analytics.site.ru cbr.ru ;" );
 

 
//наследование ссылок - откуда запрос
header( "Content-Security-Policy: base-uri 'self' ;" );
 

 
//строго блокировать все смешанное содержимое
header( "Content-Security-Policy: block-all-mixed-content ;" );
 

 
//Специальные директивы для XMLHttpRequest, WebSocket и EventSource. Обратите внимание, что для каждой из этих директив задаётся список не урлов, а хостов, с которыми разрешено общаться браузеру.
header( "Content-Security-Policy: connect-src 'self' site.ru analytics.site.ru cbr.ru money.yandex.ru api-maps.yandex.ru ;" );
 

 
//список хостов с которых разрешается загрузка javascript
header( "Content-Security-Policy: script-srс 'self' site.ru analytics.site.ru api-maps.yandex.ru ;" );
 

 
//список хостов с которых разрешается загрузка плагинов, flash
header( "Content-Security-Policy: object-src 'none' ;" );
 

 
//список хостов с которых разрешается загрузка плагинов, flash
header( "Content-Security-Policy: img-src 'self' site.ru analytics.site.ru api-maps.yandex.ru ;" );
 

 
//список хостов с которых разрешается загрузка iframe'ов
header( "Content-Security-Policy: frame-src 'self' site.ru analytics.site.ru ;" );
header( "Content-Security-Policy: frame-ancestors 'none';" );
 

 
//список хостов с которых разрешается загрузка шрифтов
header( "Content-Security-Policy: font-src 'self' site.ru ;" );
header( "Content-Security-Policy: manifest-src 'self' ;" );
 

 
//Url, на который будет отсылаться JSON-отчёт о нарушениях политики.
header( "Content-Security-Policy: report-uri https://site.ru/folder/hammeranail.php ;" );
 

 
//Url, на который будет отсылаться JSON-отчёт о нарушениях политики.
//mode=block - блокировать
header ( "X-XSS-Protection: 1; mode=block " );
#header( "X-XSS-Protection: 1; report-uri https://site.ru/folder/cspreport.php ;" );