CSP
Cabecera HTTP (o etiqueta meta) que declara qué recursos puede cargar el navegador; una de las mejores defensas contra XSS.
Aunque el atacante consiga inyectar un script, con una CSP estricta no se ejecuta. Directivas habituales: script-src, style-src, img-src, connect-src, frame-ancestors. La recomendación actual es script-src 'strict-dynamic' 'nonce-XYZ': solo corren los scripts con el nonce correcto. report-uri recoge las violaciones.
El error más común es olvidarse de los scripts y estilos en línea y acabar añadiendo 'unsafe-inline', que desactiva justo lo que se quería proteger. CSP3 (2023 en adelante) afina el conjunto. Mozilla Observatory y securityheaders.com puntúan el despliegue.