Ein HTTP-Header, der dem Browser mitteilt, woher die Seite Skripte, Stylesheets, Bilder und andere Inhalte laden darf. Er ist die wichtigste Abwehr gegen XSS.
Eine Schwachstelle ist häufig die Erlaubnis von unsafe-inline (eingebettete Skripte), unsafe-eval (Ausführen von Code aus Text) oder das Platzhalterzeichen * bei Skripten von beliebigen Domains. Solche Regeln schwächen den Schutz erheblich.