CSP, Content-Security-Policy yanıt başlığıyla tanımlanır ve yönergelerden oluşur. Örnek:
Content-Security-Policy: default-src 'self'; img-src 'self' data:; frame-ancestors 'self'Sık kullanılan yönergeler: default-src, script-src, style-src, img-src, connect-src ve çerçevelemeyi kontrol eden frame-ancestors. frame-ancestors, clickjacking'e karşı X-Frame-Options başlığının modern karşılığıdır.
İyi uygulamalar:
'unsafe-inline've'unsafe-eval'kullanmaktan kaçının; satır içi betikler için nonce veya hash kullanın.- Politikayı önce
Content-Security-Policy-Report-Onlybaşlığıyla izleme modunda deneyin ve ihlal raporlarını inceleyin. - Politikayı kademeli olarak sıkılaştırın.
CSP derinlemesine savunmanın bir katmanıdır; XSS'e karşı asıl koruma çıktıların bağlama uygun biçimde kodlanmasıdır.