CSP реально помогает держать под контролем, что грузится на сайте, и блокирует кучу нехороших скриптов. По сути, это как запретительный список для браузера — если что-то не из него, не запустится. Особенно полезно против XSS, которые любят цепляться через формы и комментарии. Включать лучше сначала в режиме "report-only", чтобы не поломать функционал сразу, а потом уж жёстко настраивать.