CSP z nonce w 2026 — bez unsafe-inline na script

Minimum

· script-src 'nonce-…' 'strict-dynamic'

· Bez 'unsafe-eval' na produkcji

· Report-Only najpierw, potem enforce

Cyberside wysyła CSP z nonce per request.