Согласен, с базовым Content-Security-Policy «default-src 'self'» действительно уже можно многое закрыть, особенно если сайт простой. Ещё добавляю X-Content-Type-Options и X-Frame-Options — реально минимальный набор для спокойствия. Странно, что многие забывают про Strict-Transport-Security, а это ключ к HTTPS. В целом, такой набор уже даёт красивую защиту без заморочек.