Безпекові заголовки

CSP

default-src, script-src з nonce/sha256, object-src 'none', report-to/report-uri, режим Report-Only для міграції.

CORS

Origin, credentials, preflight, allowlists; мінімізувати wildcard-и, чіткі методи/заголовки.

SRI і HSTS

Підпис ресурсів sha256/384, preload HSTS, max-age, includeSubDomains, X-Frame-Options/SameSite.

Гайд з прикладами

Приклад: Базова CSP з nonce

Згенерувати nonce на бекенді для кожної відповіді.

Вставити nonce в script-теги; у CSP задати script-src 'self' 'nonce-...'.

Включити report-to для телеметрії порушень.

Спробуйте наживо

Усе, що вище, працює прямо у вашому браузері — відкрийте Network Packet Routing і змінюйте параметри під час роботи. Нічого не встановлюється, нічого не завантажується на сервер, уся модель живе в одній вкладці.