Content Security Policy (CSP) – mechanizm bezpieczeństwa przeglądarek internetowych, za pomocą którego serwis internetowy przekazuje przeglądarce instrukcje ograniczające działania kodu tworzącego jego strony. Podstawowym zastosowaniem CSP jest określanie, jakie zasoby – zwłaszcza skrypty JavaScript – może wczytać dokument, co stanowi dodatkową ochronę przed atakami cross-site scripting (XSS). CSP służy też m.in. do ochrony przed clickjackingiem. Standard rozwija konsorcjum W3C.
Działanie Politykę przekazuje się w nagłówku odpowiedzi HTTP Content-Security-Policy, a w ograniczonym zakresie także w znaczniku meta dokumentu HTML. Składa się ona z oddzielonych średnikami dyrektyw, z których każda dotyczy innego aspektu zabezpieczeń. Przykładowa polityka default-src 'self'; img-src 'self' example.com pozwala wczytywać zasoby wyłącznie z tego samego pochodzenia co dokument, a obrazy dodatkowo z domeny example.com. Dyrektywy script-src, style-src i img-src określają dozwolone źródła odpowiednio skryptów, arkuszy stylów i obrazów, a default-src stosuje się do zasobów, dla których nie podano osobnej dyrektywy.