Diferencias entre CSP con meta tag client side y CSP en cabecera de respuesta?

[@XSStringManolo]

Cual es la diferencia entre añadir una meta tag en el código del cliente con CSP y hacerlo añadiendo una cabecera desde el servidor?

Argurmentarlo por favor.

[MinusFour]

Personalmente, yo prefiero cabeceras HTTP para CSP. En el caso de que tu hosting no te lo permita pues entonces no te queda de otra que usar meta tags. Ten en cuenta que el navegador tiene que parsear el documento para agregar la cabecera.

[@XSStringManolo]

Personalmente, yo prefiero cabeceras HTTP para CSP. En el caso de que tu hosting no te lo permita pues entonces no te queda de otra que usar meta tags. Ten en cuenta que el navegador tiene que parsear el documento para agregar la cabecera.

Por qué lo prefieres? Alguna ventaja? Lo mejor sería usar ambas a la vez o no?

[MinusFour]

Por qué lo prefieres? Alguna ventaja? Lo mejor sería usar ambas a la vez o no?

Más que nada porque la meta tag que se usa es precisamente para emular una cabecera http. Lo veo contraproducente... si quiero introducir cabeceras a la petición, no necesito introducirlas en el documento. Encima, hay algunas propiedades de CSP que no funcionan con meta tags (como report-uri).

La excepción sería si no pudiera manipular la petición para agregar las cabeceras.