diff --git a/server.js b/server.js
index e1b104b..b3e93b0 100644
--- a/server.js
+++ b/server.js
@@ -30,7 +30,7 @@ const { MOCK_USERS, backUrl } = require('./src/config');
 const { mutationLimiter, exportLimiter } = require('./src/middleware/rateLimit');
 const { initCsrf }         = require('./src/middleware/csrf');
 const { createSessionMiddleware } = require('./src/middleware/session');
-const { cspMiddleware }    = require('./src/middleware/csp');
+const { CSP_DIRECTIVES }   = require('./src/middleware/csp');
 
 const app = express();
 const PORT = process.env.PORT || 3000;
@@ -39,9 +39,9 @@ app.set('view engine', 'ejs');
 app.set('views', path.join(__dirname, 'views'));
 
 // ── Безопасность HTTP-заголовков ───────────────────────────────────────────────
-// helmet выставляет базовые заголовки; CSP вынесен в src/middleware/csp.js.
-app.use(helmet({ contentSecurityPolicy: false }));
-app.use(cspMiddleware);
+// helmet выставляет все security-заголовки одним вызовом, включая CSP.
+// Директивы CSP вынесены в src/middleware/csp.js.
+app.use(helmet({ contentSecurityPolicy: { directives: CSP_DIRECTIVES } }));
 
 // За reverse-proxy (nginx/k8s ingress) — доверяем первому хопу для secure cookies.
 if (process.env.NODE_ENV === 'production') app.set('trust proxy', 1);
diff --git a/src/middleware/csp.js b/src/middleware/csp.js
index 80bb467..90f4435 100644
--- a/src/middleware/csp.js
+++ b/src/middleware/csp.js
@@ -1,51 +1,39 @@
 /**
- * src/middleware/csp.js — Content Security Policy через helmet.
+ * src/middleware/csp.js — Content Security Policy директивы.
  *
- * Текущее ограничение: EJS-шаблоны используют inline <style>, inline <script>
- * и атрибуты onclick/style= — поэтому 'unsafe-inline' пока необходим.
+ * Экспортирует объект CSP_DIRECTIVES для передачи в helmet({ contentSecurityPolicy }).
+ * Так CSP применяется один раз вместе с остальными заголовками helmet.
+ *
+ * Текущее ограничение: EJS-шаблоны используют inline <style>, <script> и
+ * атрибуты onclick/style= — поэтому 'unsafe-inline' пока необходим.
  * Это всё равно лучше отключённого CSP: блокируются внешние ресурсы,
  * фреймирование, object/embed, переопределение base.
  *
  * Что блокирует эта политика:
- *   - Загрузку скриптов/стилей с внешних доменов (CDN-инъекции, supply chain)
+ *   - Загрузку скриптов/стилей с внешних доменов
  *   - Фреймирование страниц (clickjacking) — frame-ancestors 'none'
  *   - <object>, <embed>, <applet> — object-src 'none'
  *   - Переопределение <base href> — base-uri 'self'
  *   - POST форм на внешние домены — form-action 'self'
  *
- * TODO (при переносе стилей в .css и скриптов в .js):
+ * TODO (при переносе стилей в .css и скриптов в .js файлы):
  *   убрать 'unsafe-inline', добавить nonce или hash для оставшихся inline-блоков.
- *
- * Экспортирует: cspMiddleware — передавать напрямую в app.use().
  */
 
 'use strict';
 
-const helmet = require('helmet');
+const CSP_DIRECTIVES = {
+  defaultSrc:     ["'self'"],
+  // 'unsafe-inline' нужен пока стили и скрипты inline в EJS.
+  scriptSrc:      ["'self'", "'unsafe-inline'"],
+  styleSrc:       ["'self'", "'unsafe-inline'"],
+  imgSrc:         ["'self'", 'data:'],   // data: для SVG-иконок
+  fontSrc:        ["'self'"],
+  connectSrc:     ["'self'"],
+  objectSrc:      ["'none'"],            // блок <object>/<embed>/<applet>
+  baseUri:        ["'self'"],            // блок переопределения <base>
+  formAction:     ["'self'"],            // POST только на свой домен
+  frameAncestors: ["'none'"],            // clickjacking protection
+};
 
-/**
- * Возвращает helmet CSP middleware.
- * Вынесено в функцию чтобы легко заменить директивы без правки server.js.
- * @returns {import('express').RequestHandler}
- */
-function createCspMiddleware() {
-  return helmet.contentSecurityPolicy({
-    directives: {
-      defaultSrc:     ["'self'"],
-      // 'unsafe-inline' нужен пока стили и скрипты inline в EJS.
-      scriptSrc:      ["'self'", "'unsafe-inline'"],
-      styleSrc:       ["'self'", "'unsafe-inline'"],
-      imgSrc:         ["'self'", 'data:'],   // data: для SVG-иконок если появятся
-      fontSrc:        ["'self'"],
-      connectSrc:     ["'self'"],
-      objectSrc:      ["'none'"],            // блок <object>/<embed>/<applet>
-      baseUri:        ["'self'"],            // блок переопределения <base>
-      formAction:     ["'self'"],            // POST только на свой домен
-      frameAncestors: ["'none'"],            // clickjacking protection
-    },
-  });
-}
-
-const cspMiddleware = createCspMiddleware();
-
-module.exports = { cspMiddleware };
+module.exports = { CSP_DIRECTIVES };