Как настроить безопасные HTTP-заголовки для production?

Безопасные HTTP-заголовки -- это первая линия обороны веб-приложения. Минимальный набор: Strict-Transport-Security (принудительный HTTPS), Content-Security-Policy (защита от XSS/инъекций), X-Content-Type-Options (запрет MIME-sniffing), X-Frame-Options (защита от clickjacking), Referrer-Policy (контроль утечки URL), Permissions-Policy (ограничение API). Настройка занимает 15 минут, а закрывает целый класс атак.