По моему опыту, начать стоит с простых заголовков — X-Frame-Options, HSTS и X-Content-Type-Options. Они дают хорошую базу и почти не ломают сайт. CSP — мощная штука, но реально надо вводить её постепенно, чтобы не убить загрузку нужных скриптов или стилей. Лучше меньше правил и тестировать, чем сразу заблокировать всё подряд. И да, проверять заголовки на каждой странице обязательно, не только на главной.