CSP
Header HTTP (o tag meta) che stabilisce quali risorse il browser può caricare. Una forte mitigazione contro l'XSS: anche se un attaccante inietta uno script, con una CSP rigorosa non viene eseguito.
Direttive principali: script-src, style-src, img-src, connect-src, frame-ancestors e così via. Buona pratica attuale: script-src 'strict-dynamic' 'nonce-XYZ', così che vengano eseguiti solo gli script con il nonce corretto. report-uri raccoglie le violazioni segnalate dal browser.
Errore frequente: dimenticare di gestire gli script e gli stili inline con un hash o un nonce. La CSP3 (dal 2023) affina diverse funzionalità. Mozilla Observatory e securityheaders.com valutano la configurazione.