Полгода назад я закрыл замечание аудита «на сайте нет CSP» — прописал Content‑Security‑Policy с белым списком хостов, проверил, что ничего не отвалилось, и забыл. За три дня на прошлой неделе я нашёл три интеграции, которые эта политика убила молча. Ни одна из них не оставила следа на сервере.Страница, которая называет себя «в реальном времени», показывала одно и то же число десять секунд подряд — и показывала так всем, с того самого дня, как я включил CSP.Это заметка про то, почему такие поломки не видно, и про скрипт, который находит их все сразу. Читать далее