Beiträge von chris21

Google rendert die Seite inzw. ja komplett inkl. aller Skripte. Damit werden die dann ausgeführt und dadurch kommt ja wohl das POST, welches sonst Deine Besucher auslösen. Google versucht ja schon seit langem, Seiten genauso zu rendern wie es bei Besuchern passieren würde. Du kannst nun ohne das JS zu blocken vll. einfach den Zugriff auf /addons/tracker/tracker.php per robots.txt untersagen.

Ach stimmt. Was für ein Zertifikat liegt denn auf dem Default-SSL? Könntest Du da nicht einfach auch ein Let's Encrypt Zertifikat nehmen? Dann müsste es ja allenfalls ein SAN Mismatch geben, aber kein Fehler mehr wegen self-signed (wenn Google wieder ohne SNI testet).

Habe mehr das Gefühl, als hätte Google entweder zig verschiedene Botkonfigurationen oder eben es gibt extra einen, der testet, wie es ohne SNI-Support aussieht.

Läuft der Default-SSL auf der gleichen IP wie die Seite, wo die Meldung kam?

Habe oben den Beitrag gerade editiert. Es geht darum, was passiert, wenn ein nicht SNI-fähiger Client auf die Seite trifft.

[USER="98"]Synonym[/USER] Hast Du noch ein Default SSL drin? Klingt hier: *** Link veraltet *** danach, als könnte das Probleme bereiten.

Genauer bedeutet dies: Google testet auch mit Browsern/Bots, die SNI nicht unterstützen. Dann wird von Deinem Server eventuell ein Default-SSL Zertifikat zurückgeliefert, welches oftmals self-signed ist (siehe auch *** Link veraltet *** ).

Daher kommt die Warnung. (und wie wir woanders gesehen haben, birgt dies große Gefahren )

Werde ich nun auch mal checken müssen.

Der Index läuft auf einigen Datencentern schon als Test (auch für die Suche am Desktop) und er bringt heftige Verschiebungen. Wenn dieser Index irgendwann mal eines Tages überall live geht, ist Mobilegeddon da und wird seinem Namen gerecht.

*** Link veraltet ***

Du brauchst unbedingt eine Katze

Piwik nervt die letzten Tage richtig. Hatte Mo. zig Installationen aktualisiert. Dann gestern die Bugaktualisierung, dann heute die Aktualisierung der Bugaktualisierung. Argh. Allerdings habe ich vollkommen andere Versionsnummern als Du, Syno. Bin jetzt von 2.16.2 auf 2.16.5. 2.8.4 dürfte ja ewig alt sein.

Bing mag Subdomains absolut nicht.

Der Satz war echt schlecht formuliert Ich meinte:

Ich habe ein anderes Script, welches alles abarbeitet, was vor (für dieses Beispiel) Piwik abgearbeitet werden soll und dann aus diesem Script heraus danach das (für dieses Beispiel) Piwik Script lädt. Mit anderen Worten: ich löse es innerhalb eines JS, welches zwar asynchron geladen wird aber dann innerhalb des Scripts synchron abarbeitet.

Ich hatte bei einem ähnlichen Problem es dadurch gelöst, dass das - hier Piwik- - Skript nicht mehr über das DOM geladen wird sondern durch ein anderes JS, welches ich vorher haben wollte nach Ausführung aller anderen Sachen, die ich haben will.
Für Dich gäbe es auch die Möglichkeit, statt des Ladens von Piwik, welches nen 304 sendet, an der Stelle ein Skript mit Expires zu laden, welches dann Piwik lädt.

Das finde ich an der Beschäftigung mit CSP so super: man lernt sich zu fragen, ob man diese externen Dienste überhaupt will Ich wollte sie schon vorher nicht und bisher kann ich auch damit leben, die jQuery Rückgriffe auf eval() zu blockieren, ohne in eine Funktionseinschränkung zu laufen.

[USER="49"]Alex07[/USER] Für seo-nw.de gibt es da auch noch was zu tun

Kann TinEye seit Jahren. Hatte mal selbst an so einem Projekt gearbeitet. Blatt einer Rotbuche wurde vom Algo sofort als Rotbuchenblatt erkannt. Der ganze Baum als ein Teller Spaghetti Bolognese klassifiziert

Das ist mir bekannt, setze es daher auch nicht überall ein - stattdessen oft lieber Framebuster. Wenn aber Image Search zu vernachlässigen ist, ist X-Frame-Options schon vernünftig.

*** Link veraltet ***

Guter Test für moderne Sicherheitsprogrammierphilosophien für Webseiten.

Nach einigen Anpassungen bin ich nun bei einem Projekt bei 100% (wobei über 100% möglich sind). Insbesondere die CSP sind ein beachtenswertes Feature. Teilweise streiten sich da Speedperformance (Above the Fold Rendering) mit optimaler Sicherheit, aber man kommt mit passenden Kompromissen derzeit noch auf 100% (und zugleich bei 100% bei Google Pagespeed). Key Pinning nutze ich noch nicht, wird auch noch kommen.

Hast Du mit Chrome auch Google Update deinstalliert? Ansonsten vll. Safebrowsing von Google im FF.

Edit: 1e100.net wird anscheinend von Google Safe Browsing verwendet. Warum das aber am laufen ist, wenn der FF geschlossen ist, ist eine andere Frage.

Ist da irgendwo für einen Mailclient ein Virenscanner dazwischengeschaltet? Avira oder ähnliches? Vll. will der checken, auch wenn TB off ist.

Gute Besserung.

Freut mich, wenn die Unterseite erfolgreich ist. Für Russland ist Yandex der Platzhirsch und Google der Angreifer. Und nebenbei immer darauf achten, wie eine Seite in Opera läuft, wenn für Russland optimiert wird. Ist dort auch sehr beliebt.