Ещё совет небольшой — если ставить Content-Security-Policy, то старайся избегать 'unsafe-inline'. Часто именно из-за этого заголовок не работает как надо и перестают грузиться нормальные скрипты. Лучше подключай всё через внешние файлы и честно пропиши источники. И да, с HSTS не ленись — правильно настроенный он реально прикрывает много дыр, особенно если у тебя HTTPS.