Конструктор политики CSP
Соберите политику Content-Security-Policy директива за директивой, добавляя для каждой разрешённые источники, а затем получите готовую строку для HTTP-заголовка или тега meta. Всё строится локально в вашем браузере.
Как это работает
Вместо того чтобы вручную писать сложную строку CSP, добавьте нужные директивы (script-src, style-src, img-src...) и для каждой из них — разрешённые источники (ключевые слова вроде 'self', домены, схемы вроде data:). Затем инструмент соберёт итоговую строку в формате, который ожидает заголовок Content-Security-Policy.
Куда вставлять созданную политику?
Надёжнее всего отправлять её как HTTP-заголовок Content-Security-Policy со своего сервера или CDN. Её также можно задать с помощью тега <meta http-equiv="Content-Security-Policy" content="..."> в <head>, но с ограничениями (некоторые директивы, например frame-ancestors, там не учитываются).
Нужно ли всегда включать default-src?
Это настоятельно рекомендуется: default-src служит значением по умолчанию для любой директивы типа ресурса, которую вы явно не задали, и не позволяет ей по недосмотру остаться совсем без ограничений.
Конфиденциальность: политика строится целиком в вашем браузере — никакие данные не отправляются на сервер.