Все верно, CSP реально помогает, но его настройка — это почти искусство. Если переборщить, скрипты и стили просто перестанут грузиться, и сайт развалится. Лучше начинать с минималки и постепенно добавлять правила под нужды проекта, чтобы не сломать что-то важное. report-uri — находка, помогает понимать, где именно правила конфликтуют с реальностью.