HTTP hlavička, která prohlížeči říká, odkud smí stránka načítat skripty, styly, obrázky a další obsah. Je to hlavní obrana proti XSS.
Slabinou bývá povolení unsafe-inline (vložené skripty), unsafe-eval (spouštění kódu z textu) nebo zástupný znak * u skriptů z libovolné domény. Taková pravidla ochranu výrazně oslabují.