Заголовки

X-Content-Type-Options: nosniff
Элементы script и styleSheet отклоняют ответы с неправильными типами MIME.

X-Frame-Options: DENY
Запрет загрузки сайта/приложения в iframe.

Content-Security-Policy
Управление политикой безопасности контента.

Strict-Transport-Security: max-age=expireTime
Можно использовать только https.