¿Es esto lo que hay que hacer?
Para la parte del script, deberías poder añadir la etiqueta de script al contenido HTML de tu tema o a un nuevo componente de tema.
Y creo que no hay nada que hacer para la parte de CSP, según Content-Security-Policy now uses 'strict-dynamic' 