Kurz-Fakten
- Wird als HTTP-Kopfzeile ausgeliefert, nicht im HTML gesetzt
- Kann im Berichtsmodus getestet werden, bevor sie durchgesetzt wird
- Inline-Skripte erfordern eine ausdrückliche Erlaubnis oder einen Einmalwert
- Verstöße lassen sich an eine Adresse melden lassen
Bedeutung in der Praxis
Die Regel ist nur so gut wie ihre Enge. Eine Richtlinie, die alles von überall erlaubt, erfüllt eine Prüfliste und schützt nichts. Umgekehrt sperrt eine zu enge Richtlinie die eigene Seite aus – deshalb der Berichtsmodus, in dem Verstöße gemeldet, aber nicht blockiert werden.
Websites, die Schriften und Skripte vom eigenen Server ausliefern, haben es hier deutlich leichter: Je weniger fremde Quellen im Spiel sind, desto kürzer die Regel und desto seltener bricht sie beim nächsten Umbau.