CSP реально помогает ограничить, откуда браузер берет скрипты и стили, чтобы не запустить какой-то вредоносный код. Главное — не впадать в крайности и сначала тестировать в режиме "только отчеты", иначе можно легко сломать сайт. По сути, это ещё один щит против XSS, хотя без нормального кода и обновлений толку мало. Лучше перестраховаться, чем потом ловить неприятности.