Соглашусь, что заголовки безопасности — это не простая тема, особенно CSP, которая постоянно требует подстройки. Но потратить время на базовые настройки хотя бы X-Content-Type-Options и HSTS стоит: они реально прикрывают простые векторы атак и дают дополнительную подстраховку, если в коде что-то упустил. Плавно вводить можно, чтобы не ломать сайт, но делать это лучше, чем полагаться только на чистый код.