CSP — это одна из тех штуковин, которую вроде все знают, но толком не используют или ставят как-то на отвали. Фишка проста: ты говоришь браузеру, откуда загружать скрипты, стили, картинки и что можно запускать, а что нет. Если политика жесткая, то атаки типа XSS сгорит на старте.

Важно не просто прописать одну строку, а сделать это правильно — чтобы твои скрипты не полетели, а вредняки реально не запустились. Можно начать с policy типа default-src 'self', потом добавлять разрешения точечно — и не забывать про nonce или hash для inline. Старые подходы с wildcards типа * сейчас уже реально опасны.

Проверяю обычно через сам браузер (есть встроенный отчет о нарушениях), плюс тулзы вроде csp-evaluator. Еще можно во время разработки подрубить report-uri (ну или report-to) — чтобы видеть, что прилетает в нарушение.

Минус в том, что если CSP сильно жесткий, сайт может начать ломаться (особенно с внешними виджетами, аналитикой, шрифтами), тут уже надо баланс искать, тестить и чистить. В целом, без нормального CSP веб-приложения — это как дом с дверьми без замков, особенно при работе с юзерским контентом.

Кого как прокачивает CSP? Кто ставит strict-режим и не жалеет или предпочитаете более лояльные варианты?