厳しめの CSP

staging と pnpm preview では、このページに Content-Security-Policy が掛かる（インラインのスクリプトとスタイルは不可、SDK と API の配信元だけ許可）。開発サーバー（pnpm dev）では掛からない。

SDK の導入手順に書く許可先（#21）で、SDK が動くかを確かめる。