Да, в этом идея. Мне такой способ кажется самым гуманным — пользователь получает то, что хотел, а тому кто спионерил облом.
В теории как-то это можно обойти, хитрым скриптингом, но это первый базовый уровень защиты. Глюков быть не должно.
Должен лежать в корне доменов, с которых тянутся данные (всех, кроме основного с которого все грузится). Лучше класть и там, на случай путаницы с www.
По идее должен заблокировать, но это логика реализована на стороне клиента, и потому в теории ее могут обойти.
Не могу найти, но точно был гайд от МС где между ТМГ и интернетом рекомендовали аппаратный файрвол… Который вполне заменяем тем, что у вас сейчас есть…
регулярные выражения не могут вам из ничего создать www
так что без ифа — только два server_name
первый знак вопроса — отметка именованой группы. в первом посте система хабра съела знаки
