Ну да, базовые заголовки — это как велосипед с ручками: вроде можно без них, но зачем рисковать, когда есть простой и надежный способ не упасть. CSP — да, зверь ещё тот, но без элементарных шапок сайты реально оставляют дверь открытой для совсем глупых атак. Лучше сделать хотя бы минимум, а там уже надо будет ковыряться с остальным.