CSP Content Security Policy
Cabeçalho HTTP (ou meta tag) que define uma lista de permissões dos recursos que o navegador pode carregar. Forte mitigação contra XSS — mesmo que um atacante consiga injetar um script, ele não roda se o CSP for estrito.
Diretivas: script-src, style-src, img-src, connect-src, frame-ancestors etc. Boa prática moderna: script-src 'strict-dynamic' 'nonce-XYZ' — só scripts com o nonce correspondente podem rodar. report-uri coleta violações de CSP. Erro comum: esquecer de gerar hash para script e style inline. O CSP3 (2023+) refina os recursos. Mozilla Observatory e securityheaders.com avaliam o deployment.