Wie sinnvoll ist ein CSP-Header, wenn ich keine Scripts verwende?

[RaketenParanoiker]

Brauche ich das jetzt oder ist das Unsinn?

Kommt darauf an.

Wenn Du auch nur irgendwelche Inhalte von dritter Seite einbindest ist die Antwort ein klares „Ja“.

Das kann sein:

Gästebucheintrag, Wetterdaten, sogar einfache Sachen wie Login-Namen; alles aus fremden Quellen, was Du Dir nicht genau angeschaut hast oder nicht anschauen kannst.

Das Zeug ist sozusagen Deine zweite Verteidigungslinie bei Angriffen auf Webseiten. (Die erste ist das saubere Behandeln von Daten aus Drittquellen durch die Skripte auf dem Server, eine weitere kann eine Firewall sein.)

Daher ist es nicht weiter schlimm, wenn ein komplett irrer Paranoiker wie ich den grünen „A“-Button bekommt …

https://observatory.mozilla.org/analyze/code.fastix.org

… und die Webseite Deiner Bank womöglich nur B oder C.

Du musst das also selbst wissen.