Node js, express. Content Security Policy

Использую express, отдаю html. Не грузятся картинки. По такой причине:

Refused to load the image '<URL>' because it violates the following Content Security Policy directive: "img-src 'self' *.picsum.photos".

В meta пытался добавить - не катит.

Поставил helmet-csp, отключил helmet.

app.use(csp({
directives: {
    defaultSrc: ["'self'"],
    imgSrc: ["'self'", '*.picsum.photos']
}

}))

Не работает!

Вот заголовок, что отдает express:

HTTP/1.1 200 OK
Content-Security-Policy: default-src 'self';img-src 'self' *.picsum.photos

Картинки грузятся отсюда: https://picsum.photos/200/300

Что не так?