Content-Security-Policy с нуля: от report-only к жёсткому режиму

CSP ограничивает источники скриптов, стилей и встраиваний: при строгой политике даже «легальный» инлайн без nonce/hash блокируется браузером.

Стартуйте с Content-Security-Policy-Report-Only и endpoint отчётов, соберите нарушения за неделю, затем переносите правила в боевой CSP.

- [Content-Security-Policy — MDN](https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy) — Директивы и примеры.

- [CSP — web.dev](https://web.dev/articles/csp) — Введение и практика для разработчиков.

---

## Интеграции

Теги GTM/пикселей часто требуют явного script-src для доменов вендора; документируйте список в репозитории рядом с политикой.

Избегайте unsafe-inline в финальной политике для script-src — это почти отменяет смысл CSP.