Честно, базовые заголовки — это конкретно то, что стоит сделать в первую очередь. X-Content-Type-Options и HSTS почти не ломают сайт, зато минимальный щит от простых атак дают. CSP – да, сложный, особенно когда скриптов много, но с базовыми заголовками уже спокойнее. Лучше хотя бы это, чем совсем без защиты сидеть и ждать, когда ударит.