Лучше играть с CSP аккуратно и сначала в режиме report-only — так ломать сайт меньше шансов. HSTS обязательно, если у тебя HTTPS — иначе атаки с понижением безопасности проще проходят. X-Frame-Options ставь DENY или SAMEORIGIN, это базовые вещи, которые реально помогают. В общем, заголовки — не панацея, но сильно уменьшают классические атаки, если настроены нормально.