security - すべてのページの Content-Security-Policy (CSP) ?

Question

CSP を使用する利点は理解していますが、HTML ファイル以外のヘッダーを送信するのはもったいないですか? たとえば、イメージで CSP ヘッダーを送信する必要がありますか? .jsファイルの場合は？