Сторонний скрипт или сгенерированный код может отправить данные на адрес, которого нет в вашей архитектуре. Проверки внутри приложения не всегда остановят такой запрос.
В Chrome 152 появился Connection-Allowlist: HTTP-заголовок с разрешёнными URL-паттернами. Браузер проверяет адрес назначения и блокирует соединения за пределами списка. По умолчанию также заблокированы редиректы и WebRTC — их нужно разрешать явно.
Внедрение можно начать с
Connection-Allowlist-Report-Only и настроенного Reporting API: получать отчёты о нарушениях без блокировки запросов. Для недоверенного кода Google рекомендует отдельный cross-origin или sandboxed iframe с собственной политикой. Механизм дополняет существующую настройку CSP.