diff --git a/server.js b/server.js
index a08a5e6..e1b104b 100644
--- a/server.js
+++ b/server.js
@@ -30,6 +30,7 @@ const { MOCK_USERS, backUrl } = require('./src/config');
 const { mutationLimiter, exportLimiter } = require('./src/middleware/rateLimit');
 const { initCsrf }         = require('./src/middleware/csrf');
 const { createSessionMiddleware } = require('./src/middleware/session');
+const { cspMiddleware }    = require('./src/middleware/csp');
 
 const app = express();
 const PORT = process.env.PORT || 3000;
@@ -38,9 +39,9 @@ app.set('view engine', 'ejs');
 app.set('views', path.join(__dirname, 'views'));
 
 // ── Безопасность HTTP-заголовков ───────────────────────────────────────────────
-// helmet выставляет: X-Content-Type-Options, X-Frame-Options, Strict-Transport-Security,
-// Referrer-Policy и пр. CSP отключён явно — EJS использует inline-стили/скрипты.
+// helmet выставляет базовые заголовки; CSP вынесен в src/middleware/csp.js.
 app.use(helmet({ contentSecurityPolicy: false }));
+app.use(cspMiddleware);
 
 // За reverse-proxy (nginx/k8s ingress) — доверяем первому хопу для secure cookies.
 if (process.env.NODE_ENV === 'production') app.set('trust proxy', 1);
diff --git a/src/middleware/csp.js b/src/middleware/csp.js
new file mode 100644
index 0000000..80bb467
--- /dev/null
+++ b/src/middleware/csp.js
@@ -0,0 +1,51 @@
+/**
+ * src/middleware/csp.js — Content Security Policy через helmet.
+ *
+ * Текущее ограничение: EJS-шаблоны используют inline <style>, inline <script>
+ * и атрибуты onclick/style= — поэтому 'unsafe-inline' пока необходим.
+ * Это всё равно лучше отключённого CSP: блокируются внешние ресурсы,
+ * фреймирование, object/embed, переопределение base.
+ *
+ * Что блокирует эта политика:
+ *   - Загрузку скриптов/стилей с внешних доменов (CDN-инъекции, supply chain)
+ *   - Фреймирование страниц (clickjacking) — frame-ancestors 'none'
+ *   - <object>, <embed>, <applet> — object-src 'none'
+ *   - Переопределение <base href> — base-uri 'self'
+ *   - POST форм на внешние домены — form-action 'self'
+ *
+ * TODO (при переносе стилей в .css и скриптов в .js):
+ *   убрать 'unsafe-inline', добавить nonce или hash для оставшихся inline-блоков.
+ *
+ * Экспортирует: cspMiddleware — передавать напрямую в app.use().
+ */
+
+'use strict';
+
+const helmet = require('helmet');
+
+/**
+ * Возвращает helmet CSP middleware.
+ * Вынесено в функцию чтобы легко заменить директивы без правки server.js.
+ * @returns {import('express').RequestHandler}
+ */
+function createCspMiddleware() {
+  return helmet.contentSecurityPolicy({
+    directives: {
+      defaultSrc:     ["'self'"],
+      // 'unsafe-inline' нужен пока стили и скрипты inline в EJS.
+      scriptSrc:      ["'self'", "'unsafe-inline'"],
+      styleSrc:       ["'self'", "'unsafe-inline'"],
+      imgSrc:         ["'self'", 'data:'],   // data: для SVG-иконок если появятся
+      fontSrc:        ["'self'"],
+      connectSrc:     ["'self'"],
+      objectSrc:      ["'none'"],            // блок <object>/<embed>/<applet>
+      baseUri:        ["'self'"],            // блок переопределения <base>
+      formAction:     ["'self'"],            // POST только на свой домен
+      frameAncestors: ["'none'"],            // clickjacking protection
+    },
+  });
+}
+
+const cspMiddleware = createCspMiddleware();
+
+module.exports = { cspMiddleware };