Ростелеком. Врезка рекламы в трафик. Беспредел1
Сегодня столкнулся с тем, что на некоторых сайтах внезапно перестал работать скриптовый функционал (кнопки, слайдеры и т.д.). Отключение адблока не помогло.
Полез в консоль браузера и увидел там следующее:
Content Security Policy: Параметры страницы заблокировали загрузку ресурса http://r.analytic.press/?orig=http%3A%2F%2Fsite.ru%2Fscripts...
Просмотрев в кеше браузера скрипт site.ru/scripts/main/js/sidebar.js, я увидел, что он подменен на зловредный скрипт, вставляющий рекламу.
После нескольких проверок выяснилось, что подмена происходит на уровне провайдера (Ростелеком). Многие сайты используют Content Security Policy, из-за которого вставленный скрипт вместо показа рекламы просто ломает функционал сайтов.
Если на вашем сайте по каким-то причинам не может использоваться HTTPS, есть решение по блокировке рекламы, вставляемой операторами связи.
1. Самый первый скрипт, загружаемый с сайта, должен быть пустым. При запросе скрипта с сервера, Ростелеком подменяет настоящий ответ на ответ с перенаправлением на скрипт, расположенный на домене r.analytic.press. Который в свою очередь вставляет рекламу и грузит оригинальный (настоящий) скрипт. Таким образом, если скрипт будет пустым, то блокировка запросов на r.analytic.press не приведет к проблемам с функционированием сайта.
2. Для блокировки запросов на r.analytic.press и другие рекламные ресурсы у всех пользователей (даже у кого нет адблока) нужно использовать Content Security Policy. Врезка рекламы на сайтах с CSP не работает, но при этом ломает функционал сайтов (Ростелеком нарушает работу информационной системы, что есть уголовная статья). Если использовать CSP совместно с пунктом 1, то реклама не показывается и на сайте ничего не ломается.
@RTsupport, этот беспредел навсегда?
Еще раз благословляю тот день, когда навсегда расторг договор с Ростелекомом.
Худшим провайдером как были, так и остались.
@newException, на хабре этот скрипт аж на локалхост пролез:
https://habr.com/ru/post/489528/
Реклама подтверждена специалистом ростелекома, который приходил со своим ноутбуком и подключался напрямую к провайдерскому коммутатору, есть соответствующий тикет.
Мне думается, что эта "проблема" стала сильно видна после того, как ростелеком закупил у карманной конторы rdp_ru DPI-оборудование, и криво установил на своей сети. На прикладном уровне стала творится откровенная дичь, разные порты фильтруются в случайные моменты времени, и не будет этому конца, пока не уберут DPI-оборудование. Оно не предназначенно для установки на крупных провайдерских сетях. Телеком-сообщество молчит и проглатывает, видимо ждёт, когда начнут отваливаться транзакции между банками, которые хоть и идут через VPN, но интернет задействован. Откровенно достали, когда уже напрочь сломаете всё? Я думаю скоро, с вашим то уровнем компетенции.
А как вам новые счета от Ростелекома с рекламой внутри? Вот те самые квитанции, которые за домашний телефон приходят каждый месяц. Вскрываешь такую, а от туда пара ярких листов со спамом. Причем реклама сторонней фигни, не Ростелекома. Эти наглецы зарабатывают на рекламе внутри своих счетов.
Этот пиздец до тех пор пока не уйдете от ростелекома.