Ну вот, теперь главное — не увлечься и не навесить триста заголовков, чтобы сайт не стал похож на космический корабль с пультом управления. Классика с default-src 'self' и HSTS — уже почти броня, остальное — дело вкуса и конкретных фич. Иногда меньше значит лучше, особенно если цель просто не палиться на уровне «взломай меня».