Cada página se sirve con una Content-Security-Policy, y hasta ahora su regla para los scripts permitía cualquier script integrado – lo que equivalía a no proteger nada. Cada respuesta lleva ahora un token de un solo uso con el que se marcan los scripts del propio sitio, y el navegador se niega a ejecutar cualquier script que no lo tenga. Nada inyectado en una página puede tener ese token, porque se genera de nuevo en cada petición. El sitio no debería verse ni comportarse de otra forma.
Reforzada la política de seguridad del navegador para los scripts
Las páginas indican ahora al navegador exactamente qué scripts pueden ejecutarse, así que un script inyectado queda bloqueado aunque llegue a una página.