CSP: Content Security Policy
Ejemplo de CSP mínimo:
Content-Security-Policy: default-src 'self'; script-src 'self' https://www.googletagmanager.com; style-src 'self' 'unsafe-inline'Qué indica: "por defecto sólo carga desde mi dominio; scripts también desde Google Tag Manager; estilos inline permitidos".
Directivas más usadas:
default-src: fallback para todas las demásscript-src: orígenes permitidos para JavaScriptstyle-src: orígenes permitidos para CSSimg-src: orígenes permitidos para imágenesconnect-src: orígenes permitidos para fetch/XHR/WebSocketframe-ancestors: quién puede embeber la web en un iframe (protección clickjacking)
Estrategia habitual: empezar con Content-Security-Policy-Report-Only para ver qué se bloquearía sin bloquear nada, ajustar durante 1-2 semanas, y activar definitivo.
Por qué importa
Un CSP bien configurado bloquea el 95 % de los ataques XSS aunque haya vulnerabilidades en el código. Es la red de seguridad cuando un desarrollador olvida escapar un valor. Añadirlo requiere trabajo inicial pero reduce masivamente la superficie de ataque.
¿Esto aplica a tu web?
En 10 segundos te decimos cómo está tu sitio respecto a los términos del glosario: Core Web Vitals, schema, seguridad, accesibilidad, SEO técnico.
¿Tienes un proyecto exigente entre manos?
Cuéntanos qué necesita tu empresa. En la primera llamada evaluamos viabilidad técnica, alcance y presupuesto cerrado. Sin compromiso.