CSP Report-Only
CSP Report-Only モードは、違反をブロックせずに報告のみを行うモードであり、機能を壊さずに CSP を段階的に導入するために使われる。
目的
ブロックせずに CSP 違反レポートを収集し、強制モードへ切り替える前にポリシーの安全性を評価する。
メカニズム
Content-Security-Policy-Report-Only ヘッダーは CSP と同じ構文を用いるが、報告のみを行う。違反が発生すると、ブラウザは report-uri へレポート（違反したディレクティブ、ソース、行と列を含む）を POST する。分析のうえ、強制モードの CSP へ切り替える。
ユースケース
- CSP の段階的導入
- ポリシー違反の監視
- ポリシーの評価