plugin-typesplugin-types 는 <object>·<embed> 로 로드할 수 있는 플러그인을 MIME 타입 기준으로 제한하던 지시어입니다(예: application/pdf 만 허용). 그러나 플러그인 시대의 종말과 함께 폐기(deprecated)되었고 최신 브라우저에서 제거·미지원 상태입니다.
과거에는 Flash(application/x-shockwave-flash)·Java·PDF 뷰어 등 특정 플러그인 MIME 타입만 화이트리스트로 허용해, 임의 플러그인 실행을 막으려는 용도로 쓰였습니다. object-src 가 '어디서' 로드하는지를 통제한다면, plugin-types 는 '무슨 타입을' 로드하는지를 통제하는 보완 지시어였습니다.
Flash 등 브라우저 플러그인이 전면 폐지되면서 이 지시어의 존재 이유가 사라졌고, Chrome 등은 이를 무시하거나 제거했습니다. 현대적으로 플러그인 콘텐츠 통제는 object-src 'none' 하나로 일원화하는 것이 모범 사례입니다. 신규 정책에 plugin-types 를 넣지 말고, 대신 object-src 'none' 을 명시하세요.
Content-Security-Policy: plugin-types application/pdf