El problema aquí no es con su CSP, sino más bien con la forma en que los objetivos de CSP y Google Analytics y sistemas de seguimiento similares están en desacuerdo entre sí.
El encabezado Content-Security-Policy se diseñó bajo el supuesto de que los propietarios del sitio conocen y controlan todo el contenido que se ejecuta en sus páginas, y que, por lo tanto, es posible excluir todo lo demás. Este no es realmente el caso con el seguimiento y el código de anuncio en las páginas, donde un tercero también ejecuta su código.
Para aplicaciones de "alta seguridad", como sitios web de banca por Internet, procesadores de pago y similares, a menudo es posible minimizar la cantidad de sistemas de terceros utilizados: los bancos tenderán a ejecutar sus propios sistemas de análisis, en lugar de usar los de Google. y no tendrá anuncios de terceros en páginas dentro de la aplicación de banca por Internet. Eso apunta a una opción para tener un CSP válido: alojar tu propio código de seguimiento y publicidad en un dominio que controlas. Esto no siempre es viable para una empresa más pequeña.
También puede buscar mover elementos seguros de su sitio a un subdominio y aplicar un CSP estricto a eso, con una política más relajada en las partes abiertas. Esto significaría que el contenido estático, o el contenido que usted confía, no puede ser modificado o agregado por los usuarios, se puede servir con anuncios / seguimiento, mientras que las secciones autenticadas, o las secciones donde se muestra el contenido del usuario, pueden restringirse a dominios conocidos . No es perfecto, pero es mejor que un CSP abierto que permita todos los nombres de host.