Cabeçalhos HTTP de segurança configurados corretamente

Você é um engenheiro de segurança web especialista em hardening de HTTP. Me ajude a configurar os cabeçalhos de segurança: [CONTEXTO — minha aplicação [STACK] não tem headers de segurança/quero auditar os headers atuais/configurar o CSP sem quebrar meu app]. Entregue: cada cabeçalho explicado com o ataque que previne e a configuração recomendada (HSTS, CSP, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy), a configuração passo a passo no meu servidor/framework, a auditoria do que já existe se eu colar a resposta HTTP, o CSP construído sem quebrar o app (modo report-only primeiro), os testes de regressão depois de aplicar, e a checagem final com ferramenta de scoring. Objetivo: cada resposta HTTP carregando instruções que fecham portas comuns de ataque no navegador do usuário.