Согласен, просто поставить пару заголовков — это как поставить сигналку без окон и дверей. CSP реально крутой, но если его не настроить толково, толку ноль. X-Frame-Options и Strict-Transport-Security спасают от базовых проблем, а Permissions-Policy — крутой плюс для контроля API. Главное — не забывать проверять, иначе обновление сайта может сбить всю эту защиту.