Jeżeli polityka zawiera dyrektywę default-src lub script-src, przeglądarka blokuje skrypty zapisane bezpośrednio w dokumencie, obsługę zdarzeń w atrybutach elementów, adresy javascript: oraz funkcję eval() i podobne. Ograniczenia te można znieść słowami kluczowymi 'unsafe-inline' i 'unsafe-eval', co jednak w dużej mierze niweczy sens stosowania CSP. Zamiast tego poszczególne skrypty dopuszcza się za pomocą losowej wartości (ang. nonce) generowanej przy każdej odpowiedzi serwera albo skrótu kryptograficznego ich treści. Polityki oparte na tych mechanizmach (ang. strict CSP) są zalecane zamiast list dozwolonych domen, które trudno poprawnie skonfigurować i które często nieświadomie dopuszczają niebezpieczne źródła.
Dyrektywa frame-ancestors określa, które strony mogą osadzać dokument w ramce, i chroni w ten sposób przed clickjackingiem. Jest bardziej elastycznym następcą nagłówka X-Frame-Options. Dyrektywa upgrade-insecure-requests nakazuje przeglądarce zamieniać na HTTPS adresy HTTP zasobów wczytywanych przez stronę.