Nach unzähligen Stunden Internet Recherche, Header konfigurieren und testen habe ich eine halbwegs brauchbare aber dennoch noch nicht perfekte Policy geschrieben.
Währe schön wenn man für eine Standard ZP Webseite mit Online Shop die benötigten csp Konfiguration irgendwo finden könnte. Wenn ich selber was einbaue weiß ich ja woher das kommt, und wie ich das aktiviere.
Die gängigen CSP Generatoren liefern einem ja auch nicht immer das Perfekte Ergebnis und man muss dann das Ergebnis von allen Webseiten zu einem Text zusammenfassen weil der Header ja in der security.conf geschrieben wird auf allen Webseiten die gleichen Header ausgibt. zudem gefällt mir das Wörtchen unsafe in der script-src gar nicht. Aber ohne funktioniert die Webseite nicht so wie sie soll 
Im Spoiler habe ich mal eingefügt was mein Server als CSP Konfiguration ausliefert.
Spoiler anzeigen
default-src 'none'; connect-src 'self'; font-src 'self' https://fonts.gstatic.com https://maxcdn.bootstrapcdn.com; form-action 'self'; frame-src https://www.facebook.com https://www.mixcloud.com; img-src 'self' data:; script-src 'self' 'unsafe-inline' 'unsafe-eval' https://cdnjs.cloudflare.com/ajax/libs/air-…tepicker.min.js https://cdnjs.cloudflare.com/ajax/libs/air-…icker.de.min.js https://cdnjs.cloudflare.com/ajax/libs/boot…p-select.min.js https://cdnjs.cloudflare.com/ajax/libs/char…chartist.min.js https://cdnjs.cloudflare.com/ajax/libs/jsgr…3/jsgrid.min.js https://code.jquery.com/jquery-3.1.1.min.js https://maxcdn.bootstrapcdn.com/bootstrap/3.3.…ootstrap.min.js; style-src 'self' 'unsafe-inline' https://fonts.googleapis.com/ https://cdnjs.cloudflare.com/ajax/libs/air-…cker/2.2.3/css/ https://cdnjs.cloudflare.com/ajax/libs/boot…ect/1.12.1/css/ https://cdnjs.cloudflare.com/ajax/libs/chartist/0.10.1/ https://cdnjs.cloudflare.com/ajax/libs/jsgrid/1.5.3/ https://fonts.googleapis.com/ https://maxcdn.bootstrapcdn.com/bootstrap/3.3.7/css/