Как и обещал, делюсь тем, что со мной пошарили.

От @golang_for_two

Content Security Policy Reference https://content-security-policy.com
Сесурно-правильный конфиг Nginx https://gist.github.com/plentz/6737338

От @dat_sapientiam
Гайды от Мозиллы https://infosec.mozilla.org/guidelines/web_security
https://developer.mozilla.org/ru/docs/Web/HTTP/CORS

Из великих закладок Нардиса Викторовича (@cyberhermitage), дословно его сообщ:

CORS :
- http://performantcode.com/web/do-you-really-know-cors
- https://enable-cors.org/
- https://frontendian.co/cors
- https://medium.com/free-code-camp/the-terrible-performance-cost-of-cors-api-on-the-single-page-application-spa-6fcf71e50147

CSRF:
- https://portswigger.net/web-security/csrf
- https://scotthelme.co.uk/csrf-is-really-dead/
- https://www.owasp.org/index.php/Cross-Site_Request_Forgery_(CSRF)

CSP: https://frontendian.co/csp

Общее по веб-секюрити. что попалось под руку в букмарках:
- Security checklist
- API-Security-Checklist
- The Web Application Hacker's Handbook