Как настроить безопасный заголовок Content-Security-Policy?

Как настроить безопасный заголовок Content-Security-Policy? Content-Security-Policy настраивается в конфигурации веб-сервера — добавьте директиву в файл .htaccess для Apache или секцию server в Nginx, либо через мета-тег <meta> в HTML-коде. Укажите разрешённые источники через директивы default-src, script-src и style-src, принудительно запретив инлайн-скрипты и eval-выражения. Перед включением в продакшен протестируйте политику в отчётном режиме через Content-Security-Policy-Report-Only, чтобы избежать блокировки легитимного контента. Мини-чек-лист: начните с default-src ‘self’, затем добавьте доверенные домены для скриптов и стилей, используйте nonce- или hash-значения для инлайн-кода, и всегда проверяйте консоль браузера на ошибки CSP. Если вам нужно внедрить CSP без риска сломать сайт — закажите настройку и аудит у технического специалиста, это займёт от 2 часов, но исключит уязвимости XSS.