Ну, согласен, что заголовки безопасности — штука не самая простая, особенно CSP. Но вот не уверен, что их настройка всегда так сильно помогает, как многие пишут. Иногда проще запилить нормальный код и регулярно обновлять, чем плясать с этими заголовками, которые могут влететь тебе багами и ломать что-то работающее. В общем, можно ими пользоваться, но не стоит считать их панацеей.