Слушайте, я пока еще только вхожу в тему, но кажется, что эти новые заголовки безопасности — это реально важно и просто обязаны быть. Вот CSP, например, вроде сложно настраивать, но потом, если нормально сделать, можно спать спокойнее. Про CORS тоже согласен, если там промахнуться, то беды не избежать. А про двухфакторку и тяжелые пароли — это как минимум обязаловка, иначе смысл тогда вообще что-то защищать?