CSP
En-tête HTTP (ou balise meta) qui liste les ressources que le navigateur a le droit de charger. Une protection sérieuse contre le XSS — même si un attaquant injecte un script, il ne s'exécutera pas si la CSP est stricte.
Directives : script-src, style-src, img-src, connect-src, frame-ancestors, etc. Bonne pratique actuelle : script-src 'strict-dynamic' 'nonce-XYZ' — seuls les scripts portant le bon nonce peuvent s'exécuter. report-uri collecte les violations de la politique.
Erreur fréquente : oublier de hacher les scripts et styles en ligne. Le niveau 3 de la spécification (CSP3) affine plusieurs fonctions. Mozilla Observatory et securityheaders.com notent le déploiement.