CSP — это вроде фильтра для браузера, который говорит ему, откуда грузить скрипты и стили, а откуда нет. Если правильно настроить, помогает защититься от всякого вредного кода, особенно XSS. Главное — сначала в режиме "report-only" проверить, чтобы не сломать сайт, а потом уж включать по полной.