Для политики font-src разрешается один или несколько источников:

Content-Security-Policy: font-src <source>;
Content-Security-Policy: font-src <source> <source>;

<source> может быть любым из значений, перечисленных в Значения источников CSP.

Обратите внимание, что этот же набор значений может использоваться во всех директивах загрузки (и в ряде других директив).

Учитывая этот заголовок CSP:

Content-Security-Policy: font-src https://example.com/

Загрузка следующих ресурсов шрифтов будет заблокирована и не загрузится:

<style>
  @font-face {
    font-family: "MyFont";
    src: url("https://not-example.com/font");
  }
  body {
    font-family: "MyFont";
  }
</style>

• Content-Security-Policy
• @font-face