Revisión de cabeceras de seguridad de mi web

Revisa las cabeceras HTTP de respuesta de MI web (de mi propiedad o con autorización expresa) y dime qué mejorar. Cabeceras (salida de curl -sI o de las herramientas del navegador): [pegar cabeceras] Tipo de web: [web estática, aplicación con login, tienda…] Revisa: Content-Security-Policy, Strict-Transport-Security, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, X-Frame-Options o frame-ancestors, cookies (Secure, HttpOnly, SameSite) y cabeceras que revelan versiones del servidor. Para cada una: estado (correcta, mejorable, ausente), riesgo que mitiga, valor recomendado para mi tipo de web y cómo comprobar que no rompe nada (por ejemplo, empezar la CSP en modo Report-Only). Ordena por prioridad. No propongas pruebas contra sistemas de terceros.