Hey Jörg, deshalb hatte ich das – eventuell noch nicht deutlich genug – geschrieben, dass man an solchen Stellen nachjustieren kann/sollte.

Am Ende, kann die Website auch mittels CSP-Anweisungen genauso unsicher eingestellt werden, wie wenn man diese weglässt, da überall unsafe-inline und Co. verwendet wird. Meist geschieht dies aber so negativ extrem in der Praxis nicht 😉

100 % Sicherheit gibt es eh nicht und irgendwelche Kompromisse müssen wir eh eingehen, aber Gedanken sollte man sich halt mal gemacht haben. Im besten Fall entscheiden wir als Webbastler, an welcher Stelle wir dies bewusst nutzen!

gute Erklärung. Aber script-src ’self‘ reicht meist nicht aus. Denn sobald man den Google-Tag-Manager nutzt, wird dieser in der Console bemängeln, dass unsafe-inline und unsafe-eval noch benötigt wird. Da steigen zwar meine Nackenhaare auf, aber die Kunden wollen das leider immer noch einsetzen für ihre hausinternen Statistiken.
Sobald unsafe-inline und unsafe-eval aktiviert sind, fällt man wieder durch den Test.

Ist also noch immer sehr schwer 100% Save zu werden, wenn man auf Google und Konsorten angewiesen ist.

Viele Grüße!