Content-Security-Policy
Безопасность — насколько трудно увести сессию, встроить чужой код или узнать, что ломать.
стоит поправить
долгая работа
вес 5
Что это
Content-Security-Policy — белый список источников, откуда странице разрешено грузить скрипты, стили, картинки и шрифты. Всё, что не перечислено, браузер блокирует сам. Это единственная защита, которая работает даже когда чужой код уже попал на страницу — через уязвимость, рекламную сеть или скомпрометированный плагин.
Чем грозит
Без политики содержимого любой подключённый скрипт (свой, рекламный или подсунутый через уязвимость) может увести данные форм.
Что делать
Опишите разрешённые источники скриптов и стилей в заголовке Content-Security-Policy, начав с режима report-only.