MrTidy, спасибо за короткий и понятный список! Для меня, как новичка, этот набор заголовков уже кажется минимально нужным, чтобы сайт не выглядел совсем открытым. Особенно понравилось про Content-Security-Policy с дефолтным 'self' — проще не придумаешь и реально помогает отпугнуть базовые атаки. Если ещё и проверять через онлайн-сервисы, вообще здорово.