andreandClaude Sonnet 5
231b8eb699
'self' 'unsafe-inline' https://cdn.jsdelivr.net — levantamento antes de mexer: só um host externo carrega <script> a sério (jsdelivr, o html2canvas de views/admin/horario/instagram.php e o bootstrap-icons da página de erro); tudo o resto (Bootstrap, jQuery, Summernote) já é vendorizado desde a migração de 25/09. 'unsafe-inline' fica por sítio ter vários <script> inline (tema claro/escuro, GA-like snippets) que não valia a pena reescrever para nonce/hash nesta passagem — mas isto já bloqueia o caso que mais importa: um <script src="outro-domínio"> injetado por uma falha de XSS deixa de carregar. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>