Política de Seguridad de Contenidos (CSP).

La CSP se envía mediante la cabecera de respuesta «Content-Security-Policy» (o un elemento «meta») y aplica una lista blanca detallada por tipo de recurso: «script-src», «style-src», «img-src», «connect-src», «frame-ancestors», etc. Las CSP modernas estrictas se basan en nonces o hashes en lugar de listas de hosts, por lo que un script inyectado sin el nonce correcto simplemente no se ejecuta. CSP también bloquea manejadores en línea, desactiva «eval» por defecto y puede reportar violaciones con «report-to». Es un control de defensa en profundidad que reduce notablemente XSS, clickjacking (con «frame-ancestors») y contenido mixto, pero no sustituye a la validación de entrada ni a la codificación de salida.