Чому CSP варто надсилати HTTP-заголовком, а не тегом , коли це можливо?

Деякі директиви, як-от frame-ancestors, і звітування не працюють у , а заголовок охоплює контент ще до розбору тегу

CSP у ігнорують усі браузери

Браузер і продуктивність · Senior · Запитання 69 з 75

Чому CSP варто надсилати HTTP-заголовком, а не тегом `<meta>`, коли це можливо?

1CSP у <meta> ігнорують усі браузери
2Заголовки менші
✓Правильна відповідь: Деякі директиви, як-от frame-ancestors, і звітування не працюють у <meta>, а заголовок охоплює контент ще до розбору тегу

Meta-CSP - запасний варіант для статичного хостингу, де ви не керуєте заголовками.