При настройке HSTS не забудь про preload-лист — добавиться туда реально повышает защиту и экономит время. А ещё важно правильно выставить max-age, чтобы не получить проблемы с кешем при ошибках. CSP — это, конечно, геморрой, но стоит хотя бы минимальный набор правил прописать, чтобы блокировать inline-скрипты и непроверенные источники. Это сразу снижает риски.