Ist meine Frage eigentlich zu banal, als dass jemand hier auf die Idee käme, darauf einzugehen? Ich meine es tatsächlich so. Offensichtlich stimmt irgendwas an meinem Eingabeformat nicht, oder/und ich weiß nicht, wie die Fehlermeldungen sinnstiftend zu einer wirksamen CSP beitragen könnten. Wäre jemand so lieb, da weiter zu helfen? Mein php-Script kommt mit der allgemeinen Fehlermeldung 500.
Viele Grüße,
Dirk
Damit du es mal selbst siehst und später noch nachschauen kannst wie es ursprünglich derzeit war habe ich dir nachfolgend die derzeitigen kompletten Antwort-Kopfzeilen(header) von html-Dokument: https://tantra-lebensart.de/ in den nachfolgenden Spoiler gepackt:
Vielen Dank! Ich versuche, da mit den Firefox-Browsertools weiter zu kommen. Nachdem ich die o.g. Angaben als Scriptliste unter script-src angegeben habe, erhalte ich dieses unerfreuliche Ergebnis. Das sagt mir nun so gar nichts. Was mache ich falsch?
Gern. Du meinst diesen Link: https://tantra-lebensart.de/csp-hotline.php?
Bei meinem Hoster habe ich dazu ein Ticket laufen. Am Telefon war man zuversichtlich, dass da nichts blockiert sei.
Hi,
die Anleitung sollte auch aktuell noch funktionieren. Hast du denn CSP Meldungen im Browser und bist du sicher das dein hoster mail() nicht blockiert? Hast du einen Link für mich dann schaue ich mir den CSP gerne später einmal an.
Gern. Du meinst diesen Link: https://tantra-lebensart.de/csp-hotline.php?
Wie genau hast du es denn gemacht? Nur "report-only" aktivieren reicht dafür nicht aus, das sorgt nur für die Nachrichten in der Browserconsole. Wenn man die Einträge per eMail habe möchte. Müsste man auch die Direktive "report-uri" erstellen und auf einen CSP reporter verweisen. Z.B. diesen: GitHub - zero-24/csp-reporter-php: This is a smal csp-reporter script in php that send mails to a spezific mail adress in case of csp violations
Danke! Ich habe dann also eine report-uri mit dem Namen /csp-hotline.php erstellt und das entsprechende php-Script mit meiner email-Adresse ins root-Verzeichnis meiner Seite geladen. Es geschieht jedoch nichts. Die Anleitung ist auch schon etwas in die Jahre gekommen (2013), hat es damit was zu tun?
Wie gesagt, ich nutze dafür "report-only". Einrichten und warten, was da per Email so alles an Infos reinkommt; was also so alles blockiert werden würde, wenn man CSP in der aktuellen Einstellung so nutzen würde.
ok, habe ich gemacht. Entsprechend der aktuellen Einstellung dürfte zumindest der Background-Slider nicht funktionieren. Wie lange mag es dauern, bis Nachrichten darüber eintrudeln?
Was Google Maps betrifft, habe ich auf die Schnelle das hier gefunden:
Danke, das scheint zu funktionieren!
Wenn ich inline-unsafe nicht angebe, funktioniert mein Background-Slider (JUX) nicht. Wie finde ich heraus, was ich da angeben muss?
Mein Template ist Gantry 5. Das scheint ein paar Scripte zu beinhalten.
An Add-On Scripten laufen - neben dem Newsletter von IONOS - sonst noch Creative Contact Form (von Creative Solutions), jSpeed und Event Booking (joomdonation).
Vielen Dank für all die Tips!
Ich habe festgestellt, dass 2 Scripte nicht von meiner Seite stammen, das sind mein IONOS-Newsletter und Google-Maps. Kann mir jemand sagen, in welchem Format ich diese Script-Quellen im HTTP-Header-Plugin unter CSP (script-src=?) eingeben sollte? Meine Vorstellung ist, dass ich gleichzeitig unter default-src 'self' und 'inline-unsafe' angeben muss, damit z.B. die Scripte des Templates laufen. Liege ich da richtig?
Mit Dank im Voraus und Grüße,
Dirk
Es gibt das Plugin "System - HTTP Header". Dieses kannst du nutzen, um auch die Content Security Policy einzustellen, also die CSP an deine Seite anzupassen. Du kannst CSP zunächst über "Report only" analysieren , bevor du sie "scharf schaltest". Lese dich zu dem Thema aber unbedingt vorher ein! Ist nicht ganz so trivial, wie es auf Anhieb ausschaut.
Nebenbei: Es könnte auch passieren, dass du das Backend aufgrund blockierter für die Optik/Struktur notwendiger Dateien nicht mehr vernünftig bedienen kannst. Ist mir selber schon des Öfteren passiert. Über die DB kann man die Plugin-Einstellungen aber glücklicherweise wieder ändern.Also keine Panik, wenn das passieren sollte.
Wie das mit dem "erzwungenen Modus" gemeint ist, kann ich leider nicht beantworten. Nutzt du das Plugin denn schon?
Vielen Dank! Das Plugin ist wohl standardmäßig aktiviert, CSP aber nicht. Es scheint mir wirklich etwas für Profis zu sein, soviel Bahnhof verstehe ich zumindest erstmal. "nonce" und "strict-dynamic" würden es also ermöglichen, auch js von Drittanbietern, sagen wir Maps oder Kontaktformular, laufen zu lassen. Muss das alles, auch der nonce-Generator in die head-section meiner Templates? Ein default-Script für einfache Joomla-Anwender gibt es also eher wohl nicht?
Hallo zusammen,
Pagespeed Insights bescheinigt mir Abzüge bzgl. Best Practises, da CSP nicht im erzwungenen Modus läuft.
Kann mir jemand sagen, wie das geht? Soweit ich das bisher meinte verstanden zu haben, sollte das in Joomla 5 eingebaut sein, oder doch nicht?
Mit Dank im Voraus,
Dirk
So, der IONOS-Support hat mir nun mit Nachfragen nach fast 2 Wochen geantwortet. Es geht also nicht, denn in meinen Shared Hosting-Verträgen ist das Modul schlicht nicht aktiviert. Wenn ich es aktivieren will, benötige ich einen Server ganz für mich allein.
Hier ein Auszug aus der Mail:
"Bei den von Ihnen genannten Verträgen handelt es sich um Shared Hosting Verträge.
In diesen sind nicht alle PHP Module aktiv da Sie den Server mit mehreren anderen
Kunden teilen.
Möchten Sie dieses Modul trotzdem nutzen benötigen Sie einen Server den Sie
selbst verwalten müssen.
Welche PHP Module in Ihrem Vertrag genutzt werden können Sie mit einer php Info Datei auslesen.
Eine Anleitung dazu finden Sie unter https://www.ionos.de/hilfe/index.php?id=2895
Vielen Dank für Ihre Geduld."
Ist das bei anderen Hostern anders?
Viele Grüße,
Dirk
Hi,
der Google Tag Manager wird auf jeden Fall noch geladen wie man z.B. hier sehen kann:
Schau mal ob es vielleicht unter /templates/my-template/custom/particles/ etwas zum Google Tag Manager gibt. (Google Tag Manager on Gantry5 - A dedicated Atom create by Hugo Avila)
Wenn das alles nicht hilft gibts noch zwei weitere Möglichkeiten. Zieh dir ein Backup, entpacke es lokal und durchsuche alle Dateien z.B. mit Visual Studio Code nach z.B. deiner Google Tag Manager ID und oder "googletagmanger.com"
Wenn es da nichts gibt könnte man dies auch mit der Datenbank machen also einen SQL Dump erstellen, in einem Texteditor öffnen und dann nach den genannten Dingen durchsuchen.
Vielen Dank für den umfangreichen Tip! Werde mich dann mal daran machen...
Kannst bitte mal einen Screenshot machen?
Ich kann nichts sehen:
Kann ich so auch nicht sehen. Ich meien die Tags, wenn man den Thread initialisiert. Mir war nicht mehr klar, dass man das später im Verlauf nicht mehr sieht. Sorry.
WM-Loose, stimmt, es war nie die Rede von JSpeed!
Deine Bilder selbst als AVIF-Format speichern oder umwandeln und JSpeed deinstallieren. JSpeed ist mir nicht bekannt.
Damit wäre das Problem für meinen Backgroundslider nicht gelöst, wo avif nicht läuft
Es hat nichts damit zu tun ob AVIF Format unterstützt wird oder nicht, sondern es geht um die Konvertierung von Bildern, dafür ist meistens ImageMagick oder die GD Libraries auf dem Server notwendig. Ist wahrscheinlich auf die Dokumentation von JSpeed nachzulesen
Ja, darum geht es. Und der IONOS-Support arbeitet daran, was immer er da macht
Ist bei IONOS bereits vorinstalliert.
Habe auch auf meinem Mac ein Tool, um Grafiken in avif zu konvertieren, habe ich auch schon gemacht. In den Scripten funktioniert es halt nicht ohne dieses PHP GD-Library-Modul, und da habe ich meine größten Grafiken, die die Seite verlangsamen. Zur Illustration nochmal die Fehlermeldung.
WM-Loose, stimmt, es war nie die Rede von JSpeed!
Deine Bilder selbst als AVIF-Format speichern oder umwandeln und JSpeed deinstallieren. JSpeed ist mir nicht bekannt.
Doch, steht in den Tags. Spielt aber keine Rolle, insofern auch mit dem Script meines Backgroundsliders Avif nicht läuft. Hatte zwischenzeitlich Kontakt mit dem IONOS-Support, man wolle sich mit dem Thema befassen. Die Aktivierung dieses PHP GD-Library-Moduls sei nur für spezielle Umgebungen vorgesehen, so heißt es dort.
Ich habe jetzt gerade unter Joomla 5.2.3 Cassiopeia ein AVIF Bild ganz einfach und wie jedes andere Bild auch in einem Beitrag eingefügt.
Du meinst damit also, ich sollte jSpeed meine Grafiken einfach in AVIF umwandeln lassen, auch wenn es angibt, dass mein System das nicht unterstützt?
Möglich, dass ich deine Frage nicht richtig verstanden habe, weil
in Joomla ist es möglich, AVIF Bilder einzufügen und hat mit dem Hoster nichts zu tun.
Kenne aber IONOS nicht.
Nach meinem Verständnis liegt das Modul auf dem Apacheserver meines Hosters. Dort muss es aktiviert werden, was mir bislang jedoch nicht gelingt. Vielleicht muss da auch erst jemand einen Knopf drücken, der erst Montag wieder arbeitet. Der KI-Support tut dies nicht. Darum dreht sich meine Frage.
Der Hoster muss den MIME-Type unterstützen, aber normalerweise trägt man das Format im Media Manager ein
Ist im Media-Manager natürlich eingetragen.
