A CSP ne domaineket bízzon meg: nonce és strict-dynamic az XSS ellen
A nonce-alapú, strict-dynamic CSP nem hostlistákat, hanem az induló, valóban megbízható JavaScriptet jelöli ki. Így vezesd be úgy, hogy a cache és a régebbi kliensek se legyenek vakfoltok.
