Какие ресурсы позволяет ограничивать CSP

CSP (Content Security Policy) позволяет ограничивать загрузку и выполнение различных ресурсов для защиты от XSS, инъекций и других атак. Основные директивы:

• default-src – резервный источник для всех ресурсов
• script-src – управление загрузкой скриптов
• style-src – ограничение стилей (CSS)
• img-src – контроль загрузки изображений
• font-src – шрифты
• connect-src – XMLHttpRequest, WebSocket, EventSource
• media-src – видео и аудио
• object-src – плагины (Flash, Java)
• frame-src – iframe
• worker-src – Web Workers
• manifest-src – манифесты веб-приложений

Пример CSP-заголовка:

Content-Security-Policy: default-src 'self'; script-src 'self' https://trusted.cdn.com; img-src *; media-src 'none'