Content-Security-Policy presente
Falha se a resposta não tiver o cabeçalho Content-Security-Policy nem o Content-Security-Policy-Report-Only.
Por que importa
A CSP diz ao navegador de onde a página pode carregar scripts. Se alguém conseguir injetar um script (XSS), uma CSP restritiva impede que ele rode.
Como corrigir
Adicione uma política a partir de default-src 'self'. Para testar sem quebrar a página, use primeiro o cabeçalho Content-Security-Policy-Report-Only.
Como conferir a correção
HTTP-002
curl -sI https://seu-app.com | grep -i content-security-policy