Ага, заголовки — это как пытаться заковать сайт в броню, чтобы потом и самому не пролезть. CSP вроде как защита, но иногда реально делает из сайта кирпич. Лучше уже запутаться в куче исключений, чем потом клиенту объяснять, почему ничего не работает.