Короче, понял так: CSP — это как щит для сайта, который не пускает всякий странный код с левых мест. Типа браузер сам проверяет, что можно запускать, а что — нет. Главное, чтобы не перегнуть с правилами, а то сайт может сломаться. Похоже, полезная тема для защиты, хотя для меня это пока чуть сложновато понять полностью.