Content Security Policy ist seit einer Dekade die effektivste Sicherheitsmaßnahme für Webbrowser, und einer der Gründe, wieso alle Webbrowser sukzessive ihren eingebauten Schutz vor Cross-Site Scripting entfernen. Aber die Erstellung einer effektiven Content Security Policy ist nicht trivial. In diesem Vortrag diskutieren wir Lektionen aus zahlreichen CSP-Projekten: Was funktioniert, wo gibt es Probleme, und auf welche Features dürfen wir uns in Zukunft freuen?