child-srcchild-src 는 프레임(iframe)과 워커(Web Worker·Shared Worker)의 문서/스크립트 출처를 함께 제어하는 상위 지시어입니다. 현재는 frame-src(프레임)와 worker-src(워커)의 폴백 역할을 주로 담당합니다. 미지정 시 default-src 를 상속합니다.
CSP2에서 child-src 는 frame-src 를 대체할 목적으로 도입되었으나, CSP3에서 프레임과 워커의 요구가 달라 다시 frame-src·worker-src 로 분리되었습니다. 그 결과 child-src 는 이제 이 둘이 명시되지 않았을 때의 공통 폴백 지점으로 남았습니다. 폴백 순서는 (프레임) frame-src → child-src → default-src, (워커) worker-src → child-src → default-src 입니다.
실무에서는 명확성을 위해 child-src 대신 frame-src 와 worker-src 를 각각 명시하는 것이 권장됩니다. 구형 브라우저 호환을 신경 쓴다면 child-src 를 함께 두어 안전망으로 삼을 수 있습니다.
Content-Security-Policy: child-src 'self' https://www.youtube.com