Proposal: Add Optional Content-Security-Policy (CSP) Header Support

Hi @AlemTuzlak,

I’d like to contribute to the project by adding support for a default `Content-Security-Policy` (CSP) header — turned **off by default**, but easy to enable when needed.

**What I propose:**

* Add CSP header support with a sensible default policy (e.g., `default-src 'none'`)
* Make it **opt-in** via an env variable or config flag

Happy to follow your preferred coding style or integration pattern. Let me know if you’re open to this — I can start working on a pull request right away.

Thanks!

Duncan

L’issue ne nomme aucun fichier, test ni point d’entrée. Avant de commencer le travail, il faut clarifier la politique, le mécanisme de configuration, le chemin de requête concerné et les tests d’acceptation ; il est impossible de déterminer à partir de la proposition actuelle ce qui est considéré comme terminé.

Rédigé par le modèle d'indexation à partir du texte de l'issue.