Что такое Content Security Policy (CSP) и как её настроить?

Content Security Policy (CSP) — HTTP-заголовок, который указывает браузеру, из каких источников разрешено загружать скрипты, стили, изображения, шрифты и другие ресурсы. CSP эффективно блокирует XSS-атаки, потому что запрещает выполнение inline-скриптов и загрузку скриптов с неизвестных доменов. Настраивается через заголовок Content-Security-Policy или мета-тег <meta http-equiv>.