Для политики img-src можно разрешить один или несколько источников:

Content-Security-Policy: img-src <source>;
Content-Security-Policy: img-src <source> <source>;

<source> может быть любым из значений, перечисленных в Значения источников CSP.

Обратите внимание, что этот же набор значений может использоваться во всех директивах Fetch (и в ряде других директив).

Учитывая этот заголовок CSP:

Content-Security-Policy: img-src https://example.com/

Следующий <img> заблокирован и не загрузится:

<img src="https://not-example.com/foo.jpg" alt="example picture" />

• Content-Security-Policy
• <img>