CSP verdoppelt sich selbst.

Header-Debugging: die Content-Security-Policy wurde doppelt ausgeliefert. Browser haben das teils stillschweigend zusammengeführt, teils nicht.

$ curl -sI https://… | grep -ci content-security-policy
2

← einmal vom Reverse Proxy, einmal von der App

Jetzt gibt's nur noch eine Quelle der Wahrheit dafür.