長らくContent-Security-Policy-Report-Onlyヘッダーで様子を見ていたのをContent-Security-Policyヘッダーに切り換えた。中国からのアクセスで変なスクリプトを注入される環境の人が居たみたいだけど、これで安全だね（？）