Что такое заголовки X-Frame-Options и X-Content-Type-Options?

X-Frame-Options — заголовок, который контролирует, может ли страница быть встроена в <iframe>, <frame> или <object>. Защищает от clickjacking-атак. Принимает значения DENY (запретить полностью), SAMEORIGIN (разрешить только со своего домена).

X-Content-Type-Options — заголовок с единственным значением nosniff, который запрещает браузеру «угадывать» MIME-тип ресурса (MIME sniffing). Браузер строго использует тот Content-Type, который указал сервер. Защищает от атак, когда вредоносный файл маскируется под безобидный тип.