Часто начинаешь с простого — повесить X-Frame-Options и HSTS, чтобы базу закрыть. CSP действительно крутая штука, но начинать с неё без тестов — почти гарантированно сломаешь что-то. Особенно если на сайте куча всяких внешних скриптов и стилей. Совет — вводить правила понемногу, смотреть в консоль браузера, где ошибки выскакивают. И не забывать, что заголовки нужно отдавать всегда, не только на главной. Вот так проще понять, что и как работает.